Política de Segurança e Divulgação Responsável de Vulnerabilidades
Última atualização: 19 de outubro de 2026 · Versão 1.1 · Operador: Hover Plataforma Digital
A segurança dos dados dos nossos usuários e a robustez de nossos sistemas são prioridades fundamentais no Hover. Valorizamos imensamente a contribuição da comunidade global de segurança da informação e de hackers éticos que nos ajudam a manter a plataforma segura através da identificação e divulgação responsável de falhas e vulnerabilidades.
1. Nosso Compromisso e Filosofia
Acreditamos na transparência e no trabalho colaborativo com pesquisadores de segurança. Quando falhas são reportadas de acordo com as diretrizes descritas nesta política, nos comprometemos a tratar o pesquisador com respeito, agir com celeridade na análise e correção, e reconhecer publicamente sua contribuição.
2. Cláusula de Porto Seguro (Safe Harbor)
Proteção Jurídica para Pesquisadores Éticos:
O Hover não moverá ações judiciais (civis ou criminais com base na Lei de Invasão de Dispositivo Informático - Lei Carolina Dieckmann nº 12.737/2012 e Artigo 154-A do Código Penal) contra pesquisadores de segurança que realizem pesquisas de boa-fé e cumpram integralmente as regras estabelecidas nesta política. Consideramos atividades que sigam estas diretrizes como autorizadas e legítimas.
3. Escopo de Testes Autorizados
- Endpoints da API do Hover (autenticação, canais, servidores, mensagens);
- Comunicação em tempo real via WebSockets / Gateway;
- Web Client (Next.js) e Desktop App (Electron);
- Vulnerabilidades de injeção (SQLi, XSS, SSRF, IDOR);
- Burlas em verificações de permissões e controle de acesso (RBAC);
- Quebras de criptografia ou falhas no fluxo de 2FA.
- Ataques de Negação de Serviço (DoS / DDoS);
- Engenharia social, phishing ou spear-phishing contra funcionários ou moderadores;
- Ataques físicos contra escritórios ou data centers de provedores parceiros;
- Envio massivo de spam ou abuso automatizado de criação de contas;
- Vazamento ou comercialização de dados obtidos na pesquisa.
4. Regras de Engajamento e Conduta Ética
Durante seus testes de segurança, exigimos o estrito cumprimento das seguintes regras:
- Uso de Contas de Teste Próprias: Utilize exclusivamente contas criadas por você para fins de pesquisa. Nunca tente acessar, alterar ou expor contas e mensagens de terceiros;
- Interrupção Imediata: Caso encontre dados confidenciais de outros usuários durante o teste, interrompa a extração imediatamente e relate o fato sem baixar o restante da base;
- Não Degradação do Serviço: Não execute varreduras agressivas ou testes de estresse que possam comprometer a experiência de outros usuários ativos;
- Divulgação Coordenada (90 Dias): Conceda à nossa equipe o prazo de pelo menos 90 (noventa) dias a contar do reporte para investigar e lançar a correção antes de qualquer publicação pública ou em mídias sociais.
5. Como Enviar um Relatório de Falha
Envie sua notificação diretamente para o e-mail de segurança, contendo as seguintes informações:
Canal Oficial de Reportes:
seguranca@hover.chatO que incluir no relatório:
- Resumo do tipo de vulnerabilidade e gravidade estimada (CVSS se souber);
- Passo a passo detalhado e reproduzível para execução da falha (PoC);
- Trechos de requisições HTTP / WebSockets de exemplo (sem dados reais de terceiros);
- Seu nome, pseudônimo ou link de perfil para inclusão nos agradecimentos.
6. Prazos de Resposta e Correção
Até 48 horas úteis para confirmar o recebimento do e-mail.
Até 5 dias úteis para validar a falha e determinar a gravidade.
Atualizações periódicas até o deploy da correção definitiva.
7. Reconhecimento e Hall da Fama
Security Hall of Fame
Pesquisadores que reportarem falhas válidas de média a alta gravidade em conformidade com estas regras terão seus nomes ou pseudônimos listados publicamente em nosso mural de agradecimentos e receberão um distintivo exclusivo de Pesquisador de Segurança no Hover.