> Como reportar uma falha de segurança no conecta/ai — canal privado, o que incluir, escopo do que é elegível, o que esperar de nós e o compromisso de não retaliação. # Reportar vulnerabilidade Se você encontrou uma falha de segurança no conecta/ai, queremos saber **antes** de qualquer outra pessoa. Esta página descreve como reportar, o que entra no escopo e o que você pode esperar da gente. ## Canal > **Atenção.** > **Envie para `seguranca@conectaai.io` — em canal privado.** > > Não abra ticket comum, não descreva a falha em WhatsApp de grupo e **não > publique antes da correção**. Seguimos *responsible disclosure*: divulgação > coordenada, depois do conserto. Se o conteúdo do relato for sensível a ponto de você não querer mandar por e-mail em claro, diga isso na primeira mensagem — sem detalhes técnicos — e a gente combina um canal cifrado antes de você enviar o material. ## O que incluir no relato Um relato completo encurta a correção. Inclua: 1. **Onde** — URL, endpoint ou tela afetada. 2. **O que acontece** — a falha em uma frase. 3. **Como reproduzir** — passo a passo, na ordem exata. 4. **Impacto** — o que um atacante consegue fazer com isso: ler dado de outra organização? Escalar privilégio? Executar ação em nome de terceiro? 5. **Evidência** — print, requisição, trecho de resposta. **Redija dados pessoais de terceiros** antes de enviar. 6. **Ambiente** — navegador, horário aproximado, conta usada. > **Importante.** > **Não use dados reais de assinantes para demonstrar uma falha.** Se a prova de > conceito exigiria acessar dados de clientes de verdade, **pare no ponto em que > a falha ficou comprovada** e descreva o resto. Um relato com print de dado > pessoal de terceiro cria um segundo incidente em cima do primeiro. ## Escopo ### Elegível - A aplicação em `app.conectaai.io` - As APIs que a plataforma expõe aos seus próprios canais e ferramentas - Esta Central de Ajuda (`help.conectaai.io`) - Falhas de controle de acesso entre organizações — **vazamento de dados de um provedor para outro é a classe mais crítica que existe aqui** - Escalonamento de privilégio dentro de uma organização - Exposição de credenciais de integração (token da Meta, senha SIP, chave de LLM) ### Fora de escopo - **Sistemas de terceiros** — Meta/WhatsApp, Google, provedores de LLM, provedor SIP. Reporte ao programa de segurança de cada um. - **O ERP e a rede do provedor** — são sistemas do cliente, não nossos. - Ausência de controles que **já declaramos publicamente não ter** — 2FA, SSO, assinatura de webhook. Estão listados em [Central de Confiança](/seguranca#o-que-ainda-não-fazemos). Reportá-los não é achado; propor um caminho de mitigação é bem-vindo. - Relatórios automatizados de scanner sem análise de impacto. - Ataques que dependem de acesso físico, engenharia social contra funcionários ou negação de serviço por volume. - Recomendações de cabeçalho ou configuração TLS sem exploração demonstrável. > **Importante.** > **O que nunca é aceitável, mesmo em pesquisa:** degradar o serviço de um > provedor em produção, acessar ou exfiltrar dados de assinantes além do mínimo > para comprovar a falha, alterar ou apagar dados de terceiros, e manter acesso > depois de comprovado o problema. Qualquer uma dessas coisas transforma pesquisa > em incidente. ## O que esperar de nós | Etapa | Compromisso | |---|---| | **Confirmação de recebimento** | Respondemos confirmando que o relato chegou | | **Triagem** | Classificamos o impacto e dizemos se é elegível | | **Andamento** | Mantemos você informado enquanto a correção estiver aberta | | **Fechamento** | Avisamos quando estiver corrigido e combinamos a divulgação | Prazos formais de resposta e correção, quando aplicáveis à sua organização, estão no contrato. Se a falha afetar dados pessoais, a comunicação segue o que está descrito em [Disponibilidade e suporte](/seguranca/disponibilidade#incidente-que-afeta-dados-pessoais). ## Não retaliação Se você agir de boa-fé, dentro do escopo acima, e nos der tempo de corrigir antes de divulgar, **não vamos tratar o seu relato como ato hostil** — nem jurídica, nem comercialmente. Isso vale inclusive se você for cliente: um provedor que reporta falha não perde suporte nem contrato por causa disso. Não há programa de recompensa financeira (*bug bounty*) hoje. O reconhecimento que oferecemos é crédito público na correção, se você quiser. ## Se você é cliente e suspeita de uso indevido da sua conta Isso não é vulnerabilidade — é incidente na sua organização, e o caminho é outro: 1. **Revogue o acesso suspeito** em [Usuários](/configuracoes/usuarios) — inative a conta, não exclua (excluir apaga o rastro). 2. **Consulte a [trilha de auditoria](/configuracoes/auditoria)** para reconstruir o que foi feito, por quem e quando. 3. **Troque as credenciais de integração** que possam ter vazado, em [Integrações](/configuracoes/integracoes). 4. **Abra chamado** marcando a categoria **Emergência** — veja [Falar com suporte](/suporte). ## Veja também - [](https://help.conectaai.io/seguranca) — } title="Central de Confiança"> A postura de segurança completa, incluindo as lacunas conhecidas. - [](https://help.conectaai.io/configuracoes/auditoria) — } title="Auditoria"> A trilha que reconstrói o que aconteceu na sua organização. - [](https://help.conectaai.io/configuracoes/seguranca) — } title="Segurança da plataforma"> Autenticação, sessões, permissões e boas práticas para o seu time.