Segurança e Divulgação Responsável

1. Relatar uma vulnerabilidade

E-mail [email protected] com uma descrição concisa, URL afetada, passos para reproduzir e o impacto que você observou. Inclua capturas de tela ou logs apenas depois de remover tokens, senhas, dados pessoais e informações do cliente não relacionadas. Não publicar uma exploração activa ou conteúdo de relatório sensível antes de uma revisão coordenada.

2. Manter-se dentro dos limites dos ensaios seguros

Use contas e dados que possui ou tenha permissão explícita para testar. Pare se você encontrar informações privadas de outra pessoa. Não conduza ataques de negação de serviço, engenharia social, testes destrutivos ou tenta obter segredos de pagamento ou autenticação. Esta página não concede permissão para testar infraestrutura de terceiros.

3. Controlos de acesso

A geração requer uma sessão de cliente verificada. Os dados do usuário são filtrados pela identidade autenticada da conta. Os endpoints administrativos requerem uma função administrativa configurada separadamente ou allowlist verificada; um e-mail digitado em um formulário ou um indicador de função do lado do cliente não concede acesso.

As pré-visualizações do painel não contêm registros de clientes e não autorizam ações administrativas. Segredos de provedor de autenticação, credenciais fal.ai e Tripo, e chaves Stripe pertencem à configuração do lado do servidor e nunca são destinados a aparecer em páginas públicas.

4. Relatórios de tratamento

Os relatórios são revisados quanto à reprodutibilidade, gravidade e sistemas afetados. Os timelines de reconhecimento e remediação dependem do problema e da capacidade operacional; nenhuma garantia ou recompensa de nível de serviço não configurado é prometida. Podemos pedir esclarecimentos ou coordenar com um provedor.

Se você suspeitar que sua própria conta foi comprometida, entre em contato com [email protected] e use as opções de recuperação de senha ou provedor quando disponível. Nunca envie sua senha por e-mail.