Política de divulgação de segurança

Esta política cobre ativos do Crisis Connect que operamos ou mantemos, incluindo crisisconnect.network, crisisconnect.com.tr, o site público, aplicativos móveis, a base Android de código aberto, serviços de aplicativo com Firebase, fluxos de certificado de função e autorização de resgate e canais oficiais de suporte ou download.

Infraestrutura de terceiros continua sujeita ao próprio programa de divulgação de vulnerabilidades do terceiro, salvo autorização explícita nossa para testes.

Envie um e-mail para security@crisisconnect.network com assunto claro e detalhes suficientes para reproduzirmos o problema.

• Describe the affected asset, app version, device or browser, account type, and environment.
• Include steps to reproduce, screenshots, logs, proof-of-concept details, and expected impact where safe.
• Redact personal data, real emergency content, access tokens, private keys, and unrelated secrets.
• Do not post exploit details in public GitHub issues, social media, app reviews, or community channels.

Testes de segurança devem ser não destrutivos, proporcionais e limitados a sistemas e contas que você está autorizado a usar.

• Do not access, copy, alter, delete, or exfiltrate data that is not yours.
• Do not degrade service availability, spam nearby users, jam wireless communication, or interfere with emergency workflows.
• Do not bypass physical security, social-engineer staff or users, or test third-party providers without permission.
• Stop testing and notify us immediately if you encounter sensitive data, active emergency data, or a safety-impacting condition.

Algumas descobertas podem ser contexto útil, mas normalmente estão fora do escopo sem um caminho de exploração claro.

• Automated scan output without validation or impact.
• Social engineering, phishing, physical attacks, or denial-of-service testing.
• Missing security headers or cookie flags without a realistic attack path.
• Issues only affecting outdated devices, rooted devices, modified APKs, or user-controlled local storage without privilege escalation.
• Reports against Firebase, app stores, mapping providers, analytics providers, or other third-party systems outside our control.

Quando você agir de boa-fé, permanecer dentro desta política, evitar danos à privacidade e à segurança e relatar prontamente, não iniciaremos ação legal contra você somente pela atividade de pesquisa. Isso não autoriza conduta ilegal, uso indevido de dados, extorsão, divulgação pública antes da coordenação ou atividade fora do escopo declarado.

Buscamos confirmar relatos confiáveis, avaliar a gravidade, investigar componentes afetados, corrigir problemas validados e coordenar a divulgação quando apropriado.

O Crisis Connect não opera atualmente um programa pago de recompensa por bugs. Enviar um relato não cria direito a pagamento, recompensa, emprego, crédito público ou acesso contínuo.

Para código aberto, use problemas públicos para endurecimento geral, documentação e bugs não sensíveis. Use e-mail de segurança privado para vulnerabilidades suspeitas, desvios, defeitos de autenticação ou autorização, problemas de chaves, caminhos de abuso de função de resgate ou qualquer coisa que possa ajudar invasores antes de uma correção.

Use este endereço para relatos de vulnerabilidade, dúvidas sobre divulgação coordenada ou preocupações sobre política de segurança.