Objetivo de um Programa Bug Bounty
Um programa Bug Bounty oferece aos pesquisadores de segurança um canal estruturado para relatar vulnerabilidades de forma responsável.
Um programa bem estruturado ajuda a plataforma a identificar falhas de segurança antes que possam ser exploradas por agentes mal-intencionados.
Divulgação Responsável
Os pesquisadores devem relatar vulnerabilidades de forma privada por meio do canal oficial de comunicação de segurança e fornecer informações suficientes para que a equipe de segurança possa reproduzir, analisar e avaliar o problema.
Qualquer divulgação pública deve seguir as regras vigentes do programa e o cronograma de divulgação acordado.
O que um relatório deve incluir?
Um relatório de vulnerabilidade útil normalmente deve incluir uma descrição clara do problema, o componente afetado, as etapas para reprodução, o impacto na segurança, evidências de prova de conceito (Proof of Concept, PoC), quando aplicável, e quaisquer condições necessárias para reproduzir o problema.
Os pesquisadores devem evitar coletar, acessar ou expor dados de usuários que não sejam necessários para a validação da vulnerabilidade.
Vulnerabilidades potencialmente elegíveis
Dependendo do escopo oficial do programa, poderão ser consideradas elegíveis vulnerabilidades que afetem autenticação, autorização, exposição de dados sensíveis, integridade de transações, segurança da API ou outras funções críticas de segurança.
O escopo exato deve ser definido pela política vigente do programa Bug Bounty da 4M.
Problemas fora do escopo
Programas Bug Bounty normalmente podem excluir determinados tipos de problemas, como versões não suportadas, engenharia social, testes de negação de serviço (DoS) que possam afetar os usuários ou vulnerabilidades sem impacto significativo na segurança.
No entanto, os pesquisadores devem seguir as exclusões específicas publicadas oficialmente pela 4M, em vez de se basearem apenas em práticas gerais do setor.
Conduta dos pesquisadores
Os testes de segurança devem ser realizados de forma controlada e não devem causar danos intencionais aos sistemas, acessar dados de usuários não relacionados ao teste, interromper serviços ou manipular ativos reais de usuários.
Caso um teste possa afetar usuários no ambiente de produção, o pesquisador deve interrompê-lo imediatamente e solicitar orientações por meio do canal oficial de divulgação de vulnerabilidades.
Recompensas e Safe Harbor
Os valores das recompensas, critérios de elegibilidade, disposições de Safe Harbor e prazos de divulgação somente devem ser publicados quando oficialmente confirmados pela 4M.
As condições do programa da 4M não devem ser presumidas com base em programas Bug Bounty de outras exchanges ou plataformas.
Aviso Importante
Esta página descreve a estrutura e os princípios da divulgação responsável de vulnerabilidades de segurança.
A menos que a 4M publique expressamente essas informações em uma comunicação oficial de segurança, esta página não afirma nem implica que esteja atualmente ativo qualquer programa Bug Bounty específico da 4M, tabela de recompensas, escopo definido ou compromisso de Safe Harbor.