Política de divulgação de vulnerabilidades

Versão 1.1 · Data de entrada em vigor: 14 de outubro de 2026 · Última atualização: 11 de outubro de 2026

Tradução fornecida a título informativo e de conveniência. Apenas a versão em inglês deste documento tem valor jurídico; em caso de divergência, ambiguidade ou contradição, prevalece o texto em inglês.

Agradecemos as comunicações de investigadores de segurança. Se considera ter encontrado uma vulnerabilidade no LiKE, pedimos-lhe que nos informe.

Como comunicar

Envie uma mensagem de correio eletrónico para [email protected], uma mensagem por cada problema, em inglês ou em russo, com:

uma descrição do problema e do respetivo impacto;
os passos para o reproduzir (um vídeo curto ou capturas de ecrã ajudam);
o URL ou o endpoint afetado;
o seu nome ou pseudónimo, caso pretenda ser mencionado nesta página.

Pedimos-lhe que não inclua dados pessoais de outras pessoas na sua comunicação.

Analisamos todas as comunicações que recebemos. Podemos contactá-lo se necessitarmos de mais informações.

O que mais nos importa

o acesso a dados no espaço de trabalho ou na organização de outro cliente;
a evasão da autenticação ou a tomada de controlo da conta de outro utilizador;
falhas de autorização na nossa API;
conseguir que as nossas funcionalidades de IA revelem dados de um espaço de trabalho ao qual não tem acesso.

Âmbito

Dentro do âmbito: lynkora.pro e os respetivos subdomínios operados pela Lynkora, incluindo os espaços de trabalho dos clientes (*.lynkora.pro), e a nossa API.

Fora do âmbito: serviços de terceiros que utilizamos (por exemplo, fornecedores de checkout de pagamento e de envio de correio eletrónico) e qualquer sistema não operado pela Lynkora.

Regras

Realize testes apenas com contas e espaços de trabalho de que seja titular. Registe a sua própria conta em lynkora.pro para efeitos de teste.
Para nos ajudar a distinguir os seus testes da atividade real, pedimos-lhe que se registe com a etiqueta +security no seu endereço de correio eletrónico, se o seu fornecedor o permitir (por exemplo, [email protected] — as mensagens continuam a chegar à sua caixa de entrada habitual), e que inclua "test" no nome do seu espaço de trabalho. Pedimos-lhe que elimine as suas contas de teste quando terminar.
Não aceda a dados que pertençam a outras pessoas, nem os modifique ou elimine. Se aceder acidentalmente a dados de outra pessoa, pare, não guarde qualquer cópia e informe-nos.
Não tente descobrir palavras-passe por força bruta, não utilize credenciais obtidas em fugas de dados nem crie mais do que algumas contas.
Ao testar os limites de taxa (rate limits), não envie mais de 10 pedidos. É o suficiente para demonstrar o problema.
Não realize testes de negação de serviço ou de carga, análises automatizadas em grande volume, engenharia social, phishing ou ataques físicos.
Não efetue pagamentos reais nem fraudulentos.
Não divulgue publicamente o problema até termos lançado uma correção (período de não divulgação de 90 dias).

Comunicações não aceites

Não aceitamos comunicações relativas a:

problemas já do nosso conhecimento ou anteriormente comunicados;
problemas teóricos sem prova de conceito;
resultados de ferramentas de análise automatizada sem impacto demonstrado;
ausência de cabeçalhos de segurança ou de flags de cookies sem um ataque funcional;
clickjacking em páginas sem ações sensíveis;
configuração de SPF, DKIM ou DMARC;
negação de serviço, testes de carga ou limites de taxa em endpoints que não sejam de autenticação;
engenharia social ou ataques físicos;
enumeração de contas ou de endereços de correio eletrónico;
política de palavras-passe (comprimento ou complexidade);
divulgação da versão de software, banner grabbing ou páginas de erro detalhadas sem dados sensíveis;
problemas que exijam um dispositivo comprometido, uma posição de man-in-the-middle ou uma interação improvável do utilizador;
self-XSS, CSRF no encerramento de sessão (logout CSRF) ou CSRF em formulários sem ações sensíveis;
formas de exceder os limites do plano (por exemplo, limites de tokens de IA ou de lugares) sem acesso a dados de outros clientes;
comportamento do modelo de IA, como jailbreaks, prompt injection ou respostas imprecisas, exceto se expuser dados de um espaço de trabalho ao qual não tem acesso.

Recompensas

Não mantemos um programa de bug bounty remunerado e não pagamos por comunicações. Com o seu consentimento, podemos indicar o seu nome nesta página por descobertas válidas e dentro do âmbito, depois de corrigidas.

Boa-fé

Consideramos autorizada a investigação realizada de boa-fé e em conformidade com estas regras.

Agradecimentos

Agradecemos aos seguintes investigadores por terem comunicado problemas de forma responsável:

(ainda nenhum)

---

Podemos atualizar esta política ocasionalmente.