Pesquisa de segurança

Política de segurança

Levamos a segurança a sério. Se você encontrou uma vulnerabilidade, queremos saber.

Última atualização: 26 de janeiro de 2026

No Invoist, valorizamos a comunidade de segurança e incentivamos a divulgação responsável de vulnerabilidades. Esta política explica como relatar problemas de segurança e o que você pode esperar de nós.

1 Divulgação responsável

Incentivamos pesquisadores de segurança a nos relatar vulnerabilidades de forma responsável antes de torná-las públicas. Nós nos comprometemos a trabalhar com você para entender e resolver problemas de segurança legítimos com rapidez e transparência.

2 Escopo

Estão dentro do escopo da pesquisa de segurança:

  • O aplicativo web do Invoist (invoist.app)
  • Mecanismos de autenticação e autorização
  • Tratamento e armazenamento de dados
  • Endpoints da API
  • Tratamento de pagamentos e dados financeiros

3 Fora do escopo

As seguintes atividades não são permitidas e estão fora do escopo:

  • Ataques de negação de serviço (DoS/DDoS)
  • Engenharia social ou phishing contra nossos funcionários ou usuários
  • Ataques físicos contra a nossa infraestrutura
  • Acessar, alterar ou excluir dados de outros usuários
  • Varreduras automáticas de vulnerabilidades que gerem tráfego excessivo
  • Spam ou testes de limite de requisições (rate limit)
  • Serviços de terceiros que usamos (relate diretamente a eles)

4 Como relatar

Se você descobriu uma vulnerabilidade de segurança, mande um e-mail para nós com as seguintes informações:

  • Uma descrição da vulnerabilidade e do seu possível impacto
  • Os passos detalhados para reproduzir o problema
  • Capturas de tela, vídeos ou provas de conceito relevantes
  • Seus dados de contato para eventuais perguntas
security@invoist.app

5 O que esperar

Quando você envia um relato de vulnerabilidade:

1
Confirmação de recebimento

Confirmaremos o recebimento do seu relato em até 3 dias úteis.

2
Avaliação

Vamos investigar e avaliar a vulnerabilidade e manter você informado sobre o andamento.

3
Resolução

Vamos trabalhar para corrigir as vulnerabilidades confirmadas o mais rápido possível.

4
Reconhecimento

Com a sua permissão, reconheceremos publicamente a sua contribuição.

6 Porto seguro

Não tomaremos medidas legais contra pesquisadores de segurança que:

  • Ajam de boa-fé e sigam esta política
  • Evitem violações de privacidade (não acessem dados de outros usuários)
  • Não prejudiquem nem interrompam nossos serviços
  • Não divulguem vulnerabilidades publicamente antes de termos um prazo razoável para resolvê-las

7 Programa de recompensas por bugs

No momento, não oferecemos um programa de recompensas por bugs (bug bounty) pago. Mesmo assim, teremos prazer em reconhecer publicamente a sua contribuição nesta página se você relatar uma vulnerabilidade válida que confirmarmos e corrigirmos. Avise se quiser receber o crédito.

Agradecimentos

Agradecemos aos seguintes pesquisadores de segurança por relatarem vulnerabilidades de forma responsável:

Ainda não há relatos. Seja a primeira pessoa a nos ajudar a melhorar a nossa segurança!