Programa Bug Bounty

Nesta versão do programa entram:

• Site nexo.wiki.br

  Páginas públicas, área logada, jogo na web e as rotas em nexo.wiki.br/api.

• API do NEXO no Supabase

  REST, funções RPC, Auth e Storage do projeto que o site chama (o endereço aparece nas requisições do próprio site). Vale a configuração do NEXO: permissões, políticas de linha e funções. Falhas da plataforma Supabase vão direto para a Supabase.

Exemplos do que interessa: ler ou alterar dados de outra conta, ganhar Pro ou Max sem pagar, virar administrador, burlar a lógica do jogo no servidor, XSS armazenado, injeção de SQL e chave secreta exposta.

• App iOS e painel administrativo.
• Serviços de terceiros, como Vercel, Supabase (a plataforma), Stripe, RevenueCat, Google, Apple e o provedor de e-mail. Relate direto a eles.
• Negação de serviço, teste de carga, spam e força bruta.
• Engenharia social, phishing e acesso físico.
• Resultado de scanner sem prova de impacto, versão de software sem exploração demonstrada e ausência de cabeçalho, SPF ou DMARC sem impacto concreto.
• Erro em conteúdo médico de um caso. Não é falha de segurança: use a página de contato.

• Use só contas suas. Para testar acesso entre contas, crie duas contas próprias.
• Nunca leia, altere, apague ou baixe dados de outras pessoas. Se encontrar dado de terceiro, pare, não guarde cópia e relate.
• Mostre o impacto com o mínimo necessário: um registro basta, não uma tabela.
• Mantenha o volume baixo, no máximo 5 requisições por segundo, sem varredura em massa.
• Não mantenha acesso, não instale nada no servidor e não use a falha além do que prova o problema.
• Não teste pagamentos com cartão de outra pessoa nem mexa em ranking, pontos ou conquistas de outros jogadores.
• Guarde sigilo até a correção.

Escreva para security@nexo.wiki.br com:

• o que encontrou e qual o impacto;
• os passos para reproduzir;
• requisições e respostas, prints ou vídeo;
• o e-mail das contas de teste que usou;
• como quer ser creditado (nome ou apelido, link e país) ou se prefere ficar anônimo.

Não mande dados pessoais de outras pessoas. Respondemos em português, inglês, espanhol, francês, alemão e russo. Se o relato envolver dado sensível, mande o mínimo e peça um canal combinado.

• Pesquisa feita de boa-fé e dentro desta política é tratada como autorizada.
• O NEXO não vai iniciar nem apoiar ação legal contra você por essa pesquisa.
• Se alguém agir contra você por pesquisa dentro da política, o NEXO informa que ela foi autorizada.
• Não vale para quem sair das regras, atingir dados de outras pessoas de propósito ou exigir pagamento sob ameaça de divulgar a falha. Também não autoriza testar serviços de terceiros.
• Em dúvida se algo está no escopo, pergunte antes pelo e-mail.

• Hall of Fame

  Seu nome ou apelido, link e país nesta página, se você quiser.

• NEXO Max

  Meses do plano mais completo do NEXO na sua conta, conforme o impacto.

• Pagamento

  Falhas de impacto relevante podem receber pagamento proporcional ao impacto, combinado com a equipe caso a caso depois da comprovação. Quem mora no Brasil recebe por PIX e quem mora fora do Brasil recebe por PayPal, nos dois casos da conta da APHELIOS TECNOLOGIA LTDA, empresa responsável pelo NEXO. A decisão sobre o pagamento pela HackerOne ainda está pendente. Antes de transferir, pedimos os dados de identificação e fiscais que o pagamento exige. Não há tabela de valores, e a decisão de pagar e o valor são do NEXO.

• Quem volta

  Quem já teve relatos confirmados recebe um bônus sobre os meses de Max e sobre o pagamento.

O reconhecimento vale para o primeiro relato válido de cada falha, dentro do escopo e das regras. Pagamento depende de dados fiscais e de a lei permitir a transferência para o seu país.

Ainda não há nomes. O primeiro relato válido abre a lista.