Comunicação de informações vulnerabilidade.

Como relatar

Escreva para security@evmsi.com com detalhes suficientes para reproduzir o problema. Pretendemos reconhecer relatórios no prazo de três dias úteis.

Porto seguro

Se você fizer um esforço de boa fé para cumprir com esta política durante a sua pesquisa, consideraremos que está autorizada, trabalharemos com você para entender e resolver o problema rapidamente, e não vamos recomendar ou prosseguir a ação legal.

Âmbito de aplicação

• 01Este site e seus subdomínios.
• 02O ponto final de contacto em /api/contacto.
• 03Qualquer problema que permita a execução do script, injeção de conteúdo ou desvio do Content Security Policy.

Fora do âmbito de aplicação

• 01Negação de serviço, testes volumétricos ou qualquer atividade degradante disponibilidade para outros.
• 02Engenharia social do nosso povo, parceiros ou fornecedores.
• 03Ataques físicos contra os nossos escritórios ou funcionários.
• 04Relatórios gerados exclusivamente por um scanner automatizado, sem um impacto demonstrado.
• 05Faltam cabeçalhos de endurecimento sem um caminho de exploração demonstrado.

A nossa postura

Este local é deliberadamente construído com quase nenhuma superfície de ataque. Ele carrega nenhum script, estilo, fonte, frame ou endpoint de terceiros; ele leva exatamente um formulário de submissão; e não armazena nada sobre visitantes. As medidas abaixo são aplicadas a todas as respostas.

• 01Um Content Security Policy baseado em nonce com strict-dynamic — nenhum script inline ou de terceiros pode ser executado.
• 02HTTP Strict Transport Security com uma idade máxima de dois anos, subdomínios incluídos, pré-carga-elegível.
• 03Framing negou diretamente através de ambos os frame-ancestors e X-Frame-Options.
• 04Isolação de origem cruzada: políticas de abertura de origem, recursos e incorporação.
• 05Um Permissions-Policy que entrega todas as capacidades do dispositivo que o site não usa, inclusive para nossa própria origem.
• 06Validação do lado do servidor, limites de tamanho corporal, verificação da origem e limitação da taxa por endereço no ponto de contacto.
• 07Nenhuma análise de terceiros, gerenciador de tags, pixel de publicidade ou gravador de sessão — em qualquer lugar.

Por favor, não.

Acesse, modifique ou apague dados que não são seus; degrade o serviço para outras pessoas; ou publique detalhes de um problema não resolvido antes de termos uma oportunidade razoável de corrigi-lo.

Contacto

EV MULTI-SECTOR INVESTMENT COMPANY LIMITED
security@evmsi.com