Programme Bug Bounty

Cette version du programme couvre :

• Le site nexo.wiki.br

  Pages publiques, espace connecté, jeu sur le web et routes sous nexo.wiki.br/api.

• L'API de NEXO sur Supabase

  REST, fonctions RPC, Auth et Storage du projet appelé par le site (l'adresse apparaît dans les requêtes du site lui-même). Seule la configuration de NEXO est concernée : permissions, politiques par ligne et fonctions. Les failles de la plateforme Supabase se signalent directement à Supabase.

Exemples de ce qui nous intéresse : lire ou modifier les données d'un autre compte, obtenir Pro ou Max sans payer, devenir administrateur, contourner la logique du jeu côté serveur, XSS stockée, injection SQL et clé secrète exposée.

• L'app iOS et le panneau d'administration.
• Les services tiers comme Vercel, Supabase (la plateforme), Stripe, RevenueCat, Google, Apple et le fournisseur de messagerie. Signalez-leur directement.
• Déni de service, tests de charge, spam et force brute.
• Ingénierie sociale, hameçonnage et accès physique.
• Résultats de scanner sans preuve d'impact, versions logicielles sans exploitation démontrée et absence d'en-têtes, de SPF ou de DMARC sans impact concret.
• Les erreurs dans le contenu médical d'un cas. Ce n'est pas une faille de sécurité : utilisez la page de contact.

• N'utilisez que vos propres comptes. Pour tester l'accès entre comptes, créez deux comptes à vous.
• Ne lisez, ne modifiez, ne supprimez et ne téléchargez jamais les données d'autres personnes. Si vous tombez sur des données de tiers, arrêtez-vous, n'en gardez aucune copie et signalez-le.
• Montrez l'impact avec le strict nécessaire : un enregistrement suffit, pas une table entière.
• Gardez un volume faible, au maximum 5 requêtes par seconde, sans balayage massif.
• Ne conservez pas l'accès, n'installez rien sur le serveur et n'exploitez pas la faille au-delà de ce qui prouve le problème.
• Ne testez pas les paiements avec la carte d'une autre personne et ne touchez pas au classement, aux points ou aux succès des autres joueurs.
• Gardez la faille confidentielle jusqu'à sa correction.

Écrivez à security@nexo.wiki.br en indiquant :

• ce que vous avez trouvé et son impact ;
• les étapes pour le reproduire ;
• les requêtes et réponses, captures d'écran ou vidéo ;
• l'adresse e-mail des comptes de test utilisés ;
• comment vous souhaitez être crédité (nom ou pseudonyme, lien et pays) ou si vous préférez rester anonyme.

N'envoyez pas de données personnelles d'autres personnes. Nous répondons en portugais, anglais, espagnol, français, allemand et russe. Si le signalement contient des données sensibles, n'envoyez que le strict minimum et demandez-nous de convenir d'un canal.

• Une recherche menée de bonne foi et dans le respect de cette politique est considérée comme autorisée.
• NEXO n'engagera ni ne soutiendra aucune action en justice contre vous pour cette recherche.
• Si quelqu'un agit contre vous pour une recherche conforme à la politique, NEXO indiquera qu'elle était autorisée.
• Cela ne s'applique pas à qui enfreint les règles, accède volontairement aux données d'autres personnes ou exige un paiement sous la menace de divulguer la faille. Cela n'autorise pas non plus à tester des services tiers.
• En cas de doute sur le périmètre, posez la question par e-mail avant.

• Hall of Fame

  Votre nom ou pseudonyme, un lien et votre pays sur cette page, si vous le souhaitez.

• NEXO Max

  Des mois du plan le plus complet de NEXO sur votre compte, selon l'impact.

• Paiement

  Les failles à impact significatif peuvent donner lieu à un paiement proportionnel à l'impact, convenu avec l'équipe au cas par cas après vérification. Les personnes qui résident au Brésil sont payées par PIX et celles qui résident hors du Brésil par PayPal, dans les deux cas depuis le compte d'APHELIOS TECNOLOGIA LTDA, la société responsable de NEXO. La décision concernant le paiement via HackerOne est encore en suspens. Avant le virement, nous vous demandons les informations fiscales et d'identité nécessaires au paiement. Il n'y a pas de grille de montants, et la décision de payer comme le montant appartiennent à NEXO.

• Chercheurs fidèles

  Les personnes dont des signalements ont déjà été confirmés reçoivent un bonus sur les mois de Max et sur le paiement.

La reconnaissance vaut pour le premier signalement valide de chaque faille, dans le périmètre et le respect des règles. Le paiement dépend des informations fiscales et de la possibilité légale d'effectuer le virement vers votre pays.

Pas encore de noms. Le premier signalement valide ouvre la liste.