Um canal claro para relatos de segurança.

Se você identificar uma possível vulnerabilidade no site institucional da THEION, comunique o contexto pelo canal abaixo. A prioridade é compreender o risco e reduzir exposição sem ampliar o impacto.

Escopo público identificado

O canal cobre observações relacionadas ao site institucional em https://theionintegratedprojects.com e aos arquivos servidos pela mesma origem. Serviços de hospedagem, e-mail, DNS, redes sociais e outros sistemas de terceiros permanecem sujeitos aos programas e políticas dos respectivos fornecedores.

O que incluir no relato

Informe a URL afetada, uma descrição objetiva, passos suficientes para compreender o comportamento, o impacto potencial e evidências que não exponham credenciais, dados pessoais ou conteúdo de terceiros.

Proteja dados e sistemas

Não acesse, altere, exclua, baixe ou compartilhe dados de terceiros. Não execute ações que prejudiquem disponibilidade, integridade, privacidade ou continuidade. Interrompa a investigação se houver risco de causar impacto adicional.

Atividades fora do escopo

Não realize negação de serviço, carga excessiva, engenharia social, phishing, contato com colaboradores ou clientes, tentativa física, persistência, movimentação lateral, varredura indiscriminada ou teste sobre fornecedor externo. Uma observação em ativo fora do escopo deve ser encaminhada ao responsável por esse ativo.

Sem autorização implícita

A existência deste canal e do arquivo security.txt não concede autorização para testes invasivos, engenharia social, negação de serviço ou acesso além do necessário para relatar uma observação já identificada.

Recebimento, triagem e tratamento

Quando o relato puder ser localizado, a análise separará ativo, versão, reprodução, impacto, exposição e prioridade. A THEION poderá solicitar informações adicionais, limitar a investigação, envolver o fornecedor responsável, aplicar contenção e verificar a correção antes de encerrar o caso.

Coordenação e comunicação

Evite publicar detalhes exploráveis antes que o risco seja compreendido e tratado. Qualquer comunicação pública, crédito, cronograma ou coordenação de divulgação depende de acordo específico para o caso; silêncio, resposta automática ou recebimento de e-mail não constituem aprovação.

Limites do canal

Esta política não constitui programa de bug bounty, promessa de recompensa, contrato, salvo-conduto amplo ou prazo garantido de correção. O tratamento depende do contexto, da capacidade de reprodução, do impacto, da titularidade do ativo e das obrigações aplicáveis.

Enviar pelo canal institucional

O botão prepara um e-mail no seu próprio aplicativo. Revise o conteúdo e remova qualquer informação sensível desnecessária antes do envio.

Preparar relato de segurança