Como reportar
Envie um email para soporte@tucora.com.ar com o assunto "Security Report". Inclua:
- Descrição da vulnerabilidade
- Passos para reproduzi-la
- Impacto potencial
- Versão do app e dispositivo onde você a encontrou
- Seu nome ou pseudônimo (para reconhecimento opcional)
Respondemos em até 72 horas úteis com uma confirmação de recebimento. Resolução estimada de acordo com a severidade: 7-30 dias.
Compromisso (safe harbor)
Se você agir de boa-fé seguindo esta política, a TuCora se compromete a:
- Não iniciar ações legais contra você pela investigação realizada.
- Trabalhar de forma colaborativa para entender e resolver o problema.
- Reconhecer você publicamente (com sua permissão) em nosso Hall of Fame.
Escopo (in-scope)
- App móvel TuCora (Android, pacote
com.matias.cora) - Site tucora.com.ar e subdomínios
- Edge Functions do Supabase do projeto
- Tabelas e políticas RLS do banco de dados
Fora de escopo (out-of-scope)
- Vulnerabilidades em provedores terceiros (Supabase, Google, RevenueCat, Netlify) — reporte-as diretamente a eles
- Ataques de negação de serviço (DoS/DDoS)
- Engenharia social, phishing contra funcionários ou usuários
- Acessos físicos a dispositivos
- Vulnerabilidades em dispositivos rooteados/jailbroken
- Falta de "boas práticas" sem impacto demonstrável (rate limiting leve, headers cosméticos, etc.)
O que pedimos
- Não acesse dados de outras pessoas usuárias além do necessário para demonstrar a vulnerabilidade.
- Não degrade o serviço para terceiros.
- Não publique a vulnerabilidade sem antes tê-la reportado e dado um tempo razoável de correção (90 dias padrão).
- Elimine qualquer dado ao qual você tenha acidentalmente acessado.
Programa de bug bounty
Atualmente a TuCora não oferece recompensas monetárias por relatos de segurança. Oferecemos:
- Reconhecimento público (Hall of Fame)
- 1 ano de Premium gratuito por relatos válidos de severidade média ou alta
- Premium vitalício por relatos válidos de severidade crítica
security.txt
Esses dados estão publicados no formato padrão RFC 9116:
https://tucora.com.ar/.well-known/security.txt
Hall of Fame
Ainda não temos relatos. Esta seção será atualizada à medida que a comunidade de segurança nos ajudar.