Reportar vulnerabilidade

Se você encontrou uma falha de segurança no conecta/ai, queremos saber antes de qualquer outra pessoa. Esta página descreve como reportar, o que entra no escopo e o que você pode esperar da gente.

Canal

Se o conteúdo do relato for sensível a ponto de você não querer mandar por e-mail em claro, diga isso na primeira mensagem — sem detalhes técnicos — e a gente combina um canal cifrado antes de você enviar o material.

O que incluir no relato

Um relato completo encurta a correção. Inclua:

1. Onde — URL, endpoint ou tela afetada.
2. O que acontece — a falha em uma frase.
3. Como reproduzir — passo a passo, na ordem exata.
4. Impacto — o que um atacante consegue fazer com isso: ler dado de outra organização? Escalar privilégio? Executar ação em nome de terceiro?
5. Evidência — print, requisição, trecho de resposta. Redija dados pessoais de terceiros antes de enviar.
6. Ambiente — navegador, horário aproximado, conta usada.

Escopo

Elegível

• A aplicação em app.conectaai.io
• As APIs que a plataforma expõe aos seus próprios canais e ferramentas
• Esta Central de Ajuda (help.conectaai.io)
• Falhas de controle de acesso entre organizações — vazamento de dados de um provedor para outro é a classe mais crítica que existe aqui
• Escalonamento de privilégio dentro de uma organização
• Exposição de credenciais de integração (token da Meta, senha SIP, chave de LLM)

Fora de escopo

• Sistemas de terceiros — Meta/WhatsApp, Google, provedores de LLM, provedor SIP. Reporte ao programa de segurança de cada um.
• O ERP e a rede do provedor — são sistemas do cliente, não nossos.
• Ausência de controles que já declaramos publicamente não ter — 2FA, SSO, assinatura de webhook. Estão listados em Central de Confiança. Reportá-los não é achado; propor um caminho de mitigação é bem-vindo.
• Relatórios automatizados de scanner sem análise de impacto.
• Ataques que dependem de acesso físico, engenharia social contra funcionários ou negação de serviço por volume.
• Recomendações de cabeçalho ou configuração TLS sem exploração demonstrável.

O que esperar de nós

Prazos formais de resposta e correção, quando aplicáveis à sua organização, estão no contrato. Se a falha afetar dados pessoais, a comunicação segue o que está descrito em Disponibilidade e suporte.

Não retaliação

Se você agir de boa-fé, dentro do escopo acima, e nos der tempo de corrigir antes de divulgar, não vamos tratar o seu relato como ato hostil — nem jurídica, nem comercialmente. Isso vale inclusive se você for cliente: um provedor que reporta falha não perde suporte nem contrato por causa disso.

Não há programa de recompensa financeira (bug bounty) hoje. O reconhecimento que oferecemos é crédito público na correção, se você quiser.

Se você é cliente e suspeita de uso indevido da sua conta

Isso não é vulnerabilidade — é incidente na sua organização, e o caminho é outro:

1. Revogue o acesso suspeito em Usuários — inative a conta, não exclua (excluir apaga o rastro).
2. Consulte a trilha de auditoria para reconstruir o que foi feito, por quem e quando.
3. Troque as credenciais de integração que possam ter vazado, em Integrações.
4. Abra chamado marcando a categoria Emergência — veja Falar com suporte.

Veja também