Nosso compromisso
Proteger os recursos e os dados dos nossos clientes está no centro do que fazemos. Recebemos de bom grado relatos de pesquisadores de segurança e de clientes que encontrem uma vulnerabilidade nos nossos sistemas, e vamos trabalhar com você para entendê-la e corrigi-la. Esta política explica o que você pode testar, como testar com segurança e como relatar o que encontrar.
No escopo
- Sites públicos sob
*.localpayment.com, incluindo localpayment.com. - A API da Localpayment: produção (api.v3.localpayment.com) e Stage (api.stage.localpayment.com).
- O Business Portal (ui.v3.localpayment.com).
Teste apenas com contas e credenciais que você tem autorização para usar. Se você é cliente da Localpayment, faça seus testes no seu ambiente de Stage, e não em produção. Alguns subdomínios de *.localpayment.com são operados por fornecedores externos; se um relato envolver um deles, vamos coordenar com o fornecedor.
Fora do escopo
- Ataques de negação de serviço, testes de carga ou de estresse e qualquer teste que degrade o serviço para outras pessoas.
- Engenharia social, phishing ou tentativas físicas contra nossos colaboradores, escritórios, clientes ou parceiros.
- Serviços operados por terceiros, como bancos, bandeiras de cartão, trilhos de pagamento locais ou nosso canal de ética independente. Relate esses problemas ao fornecedor.
- Achados sem impacto de segurança demonstrável, como a simples ausência de headers de segurança ou de atributos de cookies, banners de versão, clickjacking em páginas sem ações sensíveis, self-XSS, CSRF de logout ou resultados não validados de scanners automáticos.
- Relatos de configuração de e-mail (SPF, DKIM, DMARC) sem um exploit funcional.
Regras de engajamento
- Sem negação de serviço. Não execute testes que possam interromper ou degradar nossos serviços e mantenha o escaneamento automatizado em ritmo baixo.
- Sem engenharia social. Não tenha pessoas como alvo (colaboradores, clientes ou parceiros) por phishing, falsa identidade ou qualquer outro meio.
- Sem exfiltração de dados. Acesse apenas o mínimo de dados necessário para comprovar o problema. Não baixe, copie, guarde, altere nem exclua dados. Se encontrar dados pessoais, dados de portadores de cartão ou credenciais, pare e relate imediatamente.
- Pare na prova de conceito. Depois de confirmar a vulnerabilidade, pare. Não escale privilégios, não se mova lateralmente, não crie persistência nem encadeie outros ataques sem nosso acordo por escrito.
- Sem transações reais. Nunca movimente recursos, crie pagamentos ou payouts reais nem interaja com contas que não sejam suas.
- Mantenha a confidencialidade. Não compartilhe detalhes do problema com ninguém até que ele seja corrigido e a divulgação seja combinada com você.
- Aja de boa-fé e dentro da lei. Não condicione seu relato a pagamento nem a qualquer outra exigência.
Como relatar
Envie um e-mail para cybersecurity@localpayment.com com o assunto “Relato de vulnerabilidade” e um título curto. Lemos relatos em inglês, espanhol e português. Inclua:
- O ativo afetado: URL, endpoint da API, parâmetro ou tela do Business Portal.
- O tipo de vulnerabilidade e seu impacto potencial.
- O passo a passo para reproduzi-la.
- Uma prova de conceito (requisições e respostas, capturas de tela ou um vídeo curto) com dados pessoais ou sensíveis ocultados.
- A data e o horário dos seus testes e os endereços IP que você usou, para identificarmos sua atividade nos nossos logs.
- Seu nome ou apelido, como falar com você e se deseja receber crédito.
Nunca inclua números de cartão reais, senhas ou dados pessoais de terceiros no relato. Em vez disso, descreva-os.
O que esperar
- Confirmação. Confirmamos o recebimento do seu relato prontamente.
- Avaliação. Nossa equipe de segurança valida o problema, avalia sua gravidade e pode pedir mais detalhes.
- Acompanhamento. Mantemos você informado sobre o andamento e avisamos quando o problema for resolvido.
- Correção. Priorizamos as correções de acordo com o risco para nossos clientes e seus dados.
- Divulgação coordenada. Se você pretende publicar suas descobertas, combinamos o momento com você depois que a correção estiver implementada. Com sua permissão, teremos prazer em reconhecer sua contribuição.
Porto seguro (safe harbor)
A Localpayment não tomará medidas legais contra pesquisadores que descobrirem e relatarem vulnerabilidades de boa-fé e de acordo com esta política.
Contato legível por máquina (security.txt)
Nossos dados de contato de segurança também são publicados em formato legível por máquina, conforme a RFC 9116, em https://localpayment.com/.well-known/security.txt.
Outras solicitações
- Suspeita de fraude ou problema com sua conta ou com uma transação: support@localpayment.com, disponível 24/7.
- Questões éticas ou de má conduta: nosso canal de ética independente.