Programa de Bug Bounty

O Programa de Bug Bounty da GGMAX formaliza a nossa Política de Divulgação Responsável: um canal seguro para que pesquisadores de segurança reportem vulnerabilidades de forma ética, colaborando com a proteção da nossa comunidade. Versão 2.1 — vigente a partir de janeiro de 2026.

1. Introdução

Incentivamos a comunidade de segurança a investigar e reportar de maneira responsável falhas que possam afetar a confidencialidade, a integridade ou a disponibilidade dos dados e serviços da GGMAX. Este documento descreve o escopo do programa, as vulnerabilidades qualificadas, os requisitos de relatório, as regras de conduta, o processo de avaliação e as garantias oferecidas a quem colabora de boa-fé.

2. Escopo

Ativos elegíveis

• O domínio ggmax.com.br e seus subdomínios.
• As APIs públicas oficialmente documentadas da GGMAX.
• Os aplicativos móveis oficiais da GGMAX para Android e iOS.

Fora do escopo

• Engenharia social contra colaboradores, prestadores ou usuários (phishing, vishing, pretexting).
• Ataques de negação de serviço (DoS e DDoS) ou qualquer teste que degrade a disponibilidade.
• Serviços de terceiros e integrações externas não operados diretamente pela GGMAX.
• Questões isoladas de configuração de DNS, SPF, DKIM ou DMARC sem impacto de segurança demonstrável.
• Resultados de scanners automatizados enviados sem validação e sem prova de exploração real.
• Self-XSS ou vulnerabilidades que requerem ações improváveis do usuário.

3. Vulnerabilidades Qualificadas

Para que um relatório seja considerado válido, deve demonstrar:

4. Requisitos do Relatório

Para que possamos reproduzir e avaliar a falha com agilidade, todo relatório deve conter:

1. Título claro que resuma a vulnerabilidade.
2. Descrição detalhada do problema e do seu impacto potencial.
3. Passos de reprodução completos, numerados e em ordem.
4. Prova de conceito (PoC): requisições, payloads, capturas de tela ou vídeo.
5. Ativo afetado: URL, endpoint, aplicativo ou componente exato.
6. Ambiente de teste: navegador, versão do app, sistema operacional e conta usada.

5. Relatórios Não Aceitos

• Relatórios gerados apenas por ferramentas automatizadas, sem validação manual.
• Vulnerabilidades teóricas sem prova de exploração real.
• Falhas já conhecidas, já reportadas ou já em processo de correção.
• Itens listados como fora do escopo.
• Relatórios sem informações suficientes para reprodução.

6. Regras de Conduta

• Agir sempre de boa-fé, sem causar dano, interrupção ou degradação dos serviços.
• Testar apenas contas e dados próprios, criados para o teste.
• Não acessar, modificar, exfiltrar ou destruir dados de outros usuários.
• Interromper o teste imediatamente ao identificar exposição de dados sensíveis e reportar de imediato.
• Não divulgar publicamente a falha antes da correção e do aval da GGMAX.
• Respeitar a privacidade de usuários e colaboradores em todas as etapas.

7. Processo de Avaliação

1. Triagem: confirmamos o recebimento e fazemos a análise inicial em até 5 dias úteis.
2. Validação: reproduzimos e classificamos a severidade em até 15 dias úteis.
3. Correção: priorizamos e desenvolvemos a correção conforme a severidade.
4. Retorno: mantemos o pesquisador informado sobre o andamento e o desfecho.
5. Reconhecimento: relatórios válidos podem receber reconhecimento e recompensa conforme o impacto.

8. Canal de Submissão

Todas as submissões devem ser enviadas exclusivamente para:

E-mail: [email protected]

Assunto: [Bug Bounty] - Título descritivo da vulnerabilidade

Importante: Não utilize tickets de suporte comum ou redes sociais para reportes de segurança.

8.1 Estrutura Sugerida do E-mail (Opcional)

Para facilitar a análise, sugerimos o seguinte formato:

--- IDENTIFICAÇÃO DO PESQUISADOR ---
Nome: [Seu nome completo ou pseudônimo]
Contato: [E-mail ou Telegram para retorno]
Experiência: [Breve descrição da sua experiência em segurança - opcional]
LinkedIn/GitHub: [Links para perfis profissionais - opcional]

--- DETALHES DA VULNERABILIDADE ---
Ativo afetado: [URL, endpoint ou componente]
Tipo de vulnerabilidade: [Ex: XSS, SQLi, IDOR, etc.]
Severidade estimada: [Crítica/Alta/Média/Baixa]
Descrição: [Explicação técnica detalhada]
Passos para reprodução: [1. Acesse... 2. Insira... 3. Observe...]
Impacto: [O que um atacante poderia fazer]
Evidências: [Anexar screenshots, vídeos, logs, PoC]
Sugestão de correção: [Opcional - como mitigar]

9. Safe Harbor

A GGMAX não iniciará ações legais contra pesquisadores que:

• Respeitarem integralmente o escopo e as regras de conduta descritas nesta política.
• Agirem de boa-fé, sem violar a privacidade nem a integridade dos dados de usuários.
• Não causarem dano, interrupção ou degradação dos serviços durante os testes.
• Nos derem tempo razoável para corrigir a falha antes de qualquer divulgação pública.

Se uma ação legal de terceiros for iniciada contra você por atividades realizadas em conformidade com esta política, tomaremos as medidas cabíveis para deixar claro que a pesquisa foi autorizada. Em caso de dúvida sobre o escopo ou a conduta esperada, entre em contato pelo canal oficial antes de prosseguir.