Programa Bug Bounty

Achou uma falha de segurança no site ou na API do NEXO? Relate para o e-mail abaixo, teste só com contas suas e não publique antes da correção. Pesquisa de boa-fé dentro destas regras é autorizada.

security@nexo.wiki.br

Dentro do escopo

Nesta versão do programa entram:

  • Site nexo.wiki.br. Páginas públicas, área logada, jogo na web e as rotas em nexo.wiki.br/api.
  • API do NEXO no Supabase. REST, funções RPC, Auth e Storage do projeto que o site chama (o endereço aparece nas requisições do próprio site). Vale a configuração do NEXO: permissões, políticas de linha e funções. Falhas da plataforma Supabase vão direto para a Supabase.

Exemplos do que interessa: ler ou alterar dados de outra conta, ganhar Pro ou Max sem pagar, virar administrador, burlar a lógica do jogo no servidor, XSS armazenado, injeção de SQL e chave secreta exposta.

Fora do escopo

  • App iOS e painel administrativo.
  • Serviços de terceiros, como Vercel, Supabase (a plataforma), Stripe, RevenueCat, Google, Apple e o provedor de e-mail. Relate direto a eles.
  • Negação de serviço, teste de carga, spam e força bruta.
  • Engenharia social, phishing e acesso físico.
  • Resultado de scanner sem prova de impacto, versão de software sem exploração demonstrada e ausência de cabeçalho, SPF ou DMARC sem impacto concreto.
  • Erro em conteúdo médico de um caso. Não é falha de segurança: use a página de contato.

Regras de teste

  • Use só contas suas. Para testar acesso entre contas, crie duas contas próprias.
  • Nunca leia, altere, apague ou baixe dados de outras pessoas. Se encontrar dado de terceiro, pare, não guarde cópia e relate.
  • Mostre o impacto com o mínimo necessário: um registro basta, não uma tabela.
  • Mantenha o volume baixo, no máximo 5 requisições por segundo, sem varredura em massa.
  • Não mantenha acesso, não instale nada no servidor e não use a falha além do que prova o problema.
  • Não teste pagamentos com cartão de outra pessoa nem mexa em ranking, pontos ou conquistas de outros jogadores.
  • Guarde sigilo até a correção.

Como relatar

Escreva para security@nexo.wiki.br com:

  • o que encontrou e qual o impacto;
  • os passos para reproduzir;
  • requisições e respostas, prints ou vídeo;
  • o e-mail das contas de teste que usou;
  • como quer ser creditado (nome ou apelido, link e país) ou se prefere ficar anônimo.

Não mande dados pessoais de outras pessoas. Respondemos em português, inglês, espanhol, francês, alemão e russo. Se o relato envolver dado sensível, mande o mínimo e peça um canal combinado.

O que esperar

  • Recebimento. Confirmação em até 3 dias úteis.
  • Avaliação. Em até 14 dias dizemos se a falha é válida, a gravidade e se já era conhecida.
  • Acompanhamento. Notícias pelo menos a cada 30 dias até o fechamento.
  • Correção. O prazo depende da gravidade. Avisamos quando estiver corrigido e você pode refazer o teste para confirmar.
  • Duplicata. Quando mais de uma pessoa relata a mesma falha, vale o primeiro relato válido.

Divulgação coordenada: pedimos que não publique nada antes da correção. Se a correção passar de 90 dias da confirmação, combinamos juntos a data.

Safe harbor

  • Pesquisa feita de boa-fé e dentro desta política é tratada como autorizada.
  • O NEXO não vai iniciar nem apoiar ação legal contra você por essa pesquisa.
  • Se alguém agir contra você por pesquisa dentro da política, o NEXO informa que ela foi autorizada.
  • Não vale para quem sair das regras, atingir dados de outras pessoas de propósito ou exigir pagamento sob ameaça de divulgar a falha. Também não autoriza testar serviços de terceiros.
  • Em dúvida se algo está no escopo, pergunte antes pelo e-mail.

Reconhecimento

  • Hall of Fame. Seu nome ou apelido, link e país nesta página, se você quiser.
  • NEXO Max. Meses do plano mais completo do NEXO na sua conta, conforme o impacto.
  • Pagamento. Falhas de impacto relevante podem receber pagamento proporcional ao impacto, combinado com a equipe caso a caso depois da comprovação. O pagamento é processado pela HackerOne, que pede ao pesquisador o formulário fiscal e a verificação de identidade antes de transferir. Não há tabela de valores e a decisão de pagar e o valor são do NEXO.
  • Quem volta. Quem já teve relatos confirmados recebe um bônus sobre os meses de Max e sobre o pagamento.

O reconhecimento vale para o primeiro relato válido de cada falha, dentro do escopo e das regras. Pagamento depende de dados fiscais e de a lei permitir a transferência para o seu país.

Hall of Fame

Ainda não há nomes. O primeiro relato válido abre a lista.