Política de divulgação de vulnerabilidades

Introdução

Na GGWP, Inc., nossa missão é promover comunidades de jogos seguras e inclusivas. Tratamos a segurança dos nossos algoritmos de moderação de conteúdo, os dados dos nossos clientes e a privacidade dos jogadores com a máxima seriedade.

Reconhecemos que a comunidade de segurança tem um papel fundamental na construção de uma internet mais segura. Valorizamos as contribuições de pesquisadores de segurança, hackers éticos e da comunidade de jogos que nos ajudam a identificar e resolver problemas de segurança. Se você acredita ter encontrado uma vulnerabilidade de segurança em nossa plataforma, API ou SDKs, pedimos que nos avise o mais rápido possível.

Salvaguarda (proteção jurídica)

Consideramos a pesquisa de segurança e a divulgação de vulnerabilidades como condutas “autorizadas” nos termos do Computer Fraud and Abuse Act (CFAA), do DMCA e de outras leis aplicáveis contra invasões de sistemas, desde que você cumpra esta política.

Comprometemo-nos a não iniciar nem apoiar ações judiciais contra você por violações acidentais e de boa-fé desta política.

No entanto, esta salvaguarda não se estende a:

• Resgate ou extorsão: Exigir pagamento em troca de não divulgar ou de corrigir a vulnerabilidade.
• Fraude: Usar uma vulnerabilidade para enganar nosso sistema, funcionários ou clientes visando obter ganhos financeiros.
• Exfiltração de dados: Acessar, baixar ou transferir intencionalmente mais dados do que o estritamente necessário para demonstrar uma prova de conceito.
• Ações maliciosas: Qualquer atividade destinada a comprometer a integridade ou a disponibilidade dos nossos serviços (por exemplo, destruir dados ou manter malware persistente).

Escopo

Ativos dentro do escopo

Pedimos que você concentre seus testes nos ativos de propriedade e operação da GGWP, Inc.:

• Aplicações web: dashboard.ggwp.com
• Endpoints de API: api.ggwp.com
• SDKs de cliente: SDKs oficiais da GGWP, Inc. para Unity e Unreal

Ativos restritos (exigem permissão)

• Modelos de moderação e IA: Testes de inversão de modelo, extração de dados de treinamento ou ataques adversariais contra nossos modelos de ML são estritamente proibidos sem consentimento prévio por escrito.

Ativos fora do escopo

• Jogos dos nossos clientes: É estritamente proibido testar, invadir ou interromper os jogos, servidores ou a infraestrutura dos estúdios de jogos que utilizam nossos serviços. Os testes devem ser realizados em nossas interfaces de API, não no próprio cliente do jogo.
• Serviços de terceiros hospedados por provedores que não sejam a GGWP, Inc. (por exemplo, HubSpot, infraestrutura da AWS que sustenta o serviço sem comprometer a camada de aplicação).

Diretrizes e regras de atuação

Para permanecer coberto pela proteção jurídica da salvaguarda, você deve:

• Não causar danos: Não prejudique o desempenho dos nossos serviços (por exemplo, DoS/DDoS) nem interrompa os recursos de moderação dos nossos clientes.
• Priorizar a privacidade: Não acesse, baixe ou modifique dados armazenados em uma conta que não pertença a você. Se encontrar PII (informações de identificação pessoal), registros de chat ou gravações de voz de outras pessoas, pare imediatamente e relate a vulnerabilidade.
• Não realizar movimentação para outros sistemas: Não use uma vulnerabilidade descoberta para acessar sistemas internos ou outros ambientes de clientes.
• Manter a confidencialidade: Não divulgue a vulnerabilidade ao público ou a terceiros antes de nos conceder um prazo razoável para corrigir o problema (detalhes em “Política de divulgação” abaixo).

Exclusões (vulnerabilidades não elegíveis)

Os problemas a seguir geralmente são considerados fora do escopo, a menos que demonstrem um impacto significativo na segurança:

• Engenharia social (phishing, vishing) direcionada a nossos funcionários ou clientes.
• Ataques à segurança física dos nossos escritórios.
• Bugs de UI/UX ou erros de ortografia.
• Ausência de limitação de requisições (a menos que represente uma ameaça grave à disponibilidade do serviço).
• Ausência de cabeçalhos de segurança HTTP (a menos que um impacto específico seja demonstrado).
• Entradas adversariais na IA que apenas resultem em classificações “incorretas” (isso é um problema de qualidade, não uma vulnerabilidade de segurança, a menos que leve à execução de código ou ao vazamento de dados).

Como relatar uma vulnerabilidade

Seu relatório deve incluir:

• Descrição: A localização e a natureza da vulnerabilidade.
• Etapas para reproduzir: Um guia claro e detalhado ou um script de prova de conceito (PoC).
• Impacto: Como a vulnerabilidade pode ser explorada e quais dados ou sistemas estão em risco.

Nosso compromisso com você

Quando você compartilha uma vulnerabilidade conosco, nos comprometemos a:

• Confirmar o recebimento: Confirmaremos o recebimento do seu relatório em até 3 dias úteis.
• Analisar: Faremos a triagem do relatório e confirmaremos a validade da vulnerabilidade em até 10 dias úteis.
• Comunicar: Manteremos você a par do nosso progresso.

Prazos-alvo de correção

Buscamos corrigir os problemas de acordo com sua gravidade. Definimos nossas metas de correção da seguinte forma, sujeitas a esforços comercialmente razoáveis:

Política de divulgação

Adotamos a divulgação coordenada de vulnerabilidades. Você só tem autorização para publicar suas descobertas depois que:

• Tivermos informado que a vulnerabilidade foi corrigida; OU
• Tiverem se passado 90 dias desde o seu relatório inicial, e não tivermos solicitado uma prorrogação devido à complexidade da correção.

Exceções à divulgação padrão

• Divulgação antecipada: Se uma vulnerabilidade estiver sendo explorada ativamente em ambientes reais (uma “0-day”), poderemos concordar com um prazo de divulgação mais curto para alertar a comunidade.
• Divulgação prorrogada: Se uma vulnerabilidade afetar um ecossistema complexo (por exemplo, uma dependência de terceiros que exija uma correção na origem pelo fornecedor), poderemos solicitar uma prorrogação além de 90 dias para garantir que o ecossistema mais amplo receba as correções antes da divulgação pública.

Recompensas e reconhecimento

Agradecemos imensamente aos pesquisadores de segurança que nos ajudam a manter o ecossistema de jogos seguro. No entanto, é importante esclarecer a natureza do nosso programa para alinhar as expectativas.

Sem recompensas financeiras

Atualmente, este é um Programa de Divulgação de Vulnerabilidades (VDP), não um programa remunerado de Bug Bounty. No momento, não oferecemos compensação financeira nem recompensas em dinheiro pelo envio de vulnerabilidades. Por favor, não envie relatórios com a expectativa de pagamento nem exija compensação como condição para revelar os detalhes de uma vulnerabilidade.

Nossa gratidão

Embora não possamos oferecer recompensas em dinheiro, valorizamos sua contribuição e temos satisfação em oferecer as seguintes formas de reconhecimento por relatórios válidos e de alto impacto:

• Hall da fama: Com sua permissão, incluiremos seu nome e o link do seu perfil em nosso Hall da Fama de Segurança.