Última revisão editorial:
Política de segurança.
Como relatar vulnerabilidades que afetem projetos e serviços da NDT digital, e o que acontece depois do relato.
Relatos privados e responsáveis ajudam a NDT digital a investigar e corrigir riscos de segurança.
Relate uma vulnerabilidade em canal privado
Envie relatos de segurança para security@ndtdigital.com.br ou use o GitHub Private Vulnerability Reporting quando ele estiver habilitado no repositório afetado.
Não publique detalhes de vulnerabilidade em Issues, Discussions, Pull Requests ou redes sociais. Na dúvida sobre o impacto de um problema, use o canal privado.
O que incluir no relato
Informe o projeto ou serviço afetado, a versão quando souber, uma descrição clara, as etapas para reproduzir, o impacto observado e as evidências relevantes. Não inclua credenciais, tokens ou dados pessoais que não sejam necessários.
Escopo e versões com suporte
Esta política vale para software, repositórios, serviços, APIs, sites e infraestrutura mantidos pela NDT digital. Quando um projeto tiver política de segurança própria, ela prevalece para aquele projeto.
Projetos mantidos ativamente e versões com suporte têm prioridade nas correções de segurança. Versões descontinuadas, arquivadas ou experimentais podem não receber atualização.
Resposta e divulgação responsável
Ao receber um relato, a NDT digital pode validar o comportamento, avaliar o impacto, preparar mitigação ou correção e coordenar a divulgação. Os prazos variam conforme a severidade, a complexidade e o risco operacional.
Antes de publicar detalhes sensíveis, dê à NDT digital uma oportunidade razoável de investigar. Limite os testes ao mínimo necessário para demonstrar o problema, sem comprometer contas, dados ou a disponibilidade dos serviços.
Componentes de terceiros
Produtos da NDT digital podem depender de software, bibliotecas ou infraestrutura de terceiros. Quando a falha estiver apenas em um componente externo, a correção pode envolver atualizar dependências, mudar configuração ou acionar o projeto de origem. Ainda assim, relatos sobre a exposição de um produto da NDT continuam pertinentes.