Comunicação de informações vulnerabilidade.

Como relatar

Escreva para security@evmsi.com com detalhes suficientes para reproduzir o problema. Pretendemos reconhecer relatórios no prazo de três dias úteis.

Porto seguro

Se você fizer um esforço de boa fé para cumprir com esta política durante a sua pesquisa, consideraremos que está autorizada, trabalharemos com você para entender e resolver o problema rapidamente, e não vamos recomendar ou prosseguir a ação legal.

Âmbito de aplicação

• 01Este site e seus subdomínios.
• 02O ponto final de contacto em /api/contacto.
• 03Qualquer problema que permita a execução do script, injeção de conteúdo ou desvio do Content Security Policy.

Fora do âmbito de aplicação

• 01Negação de serviço, testes volumétricos ou qualquer atividade degradante disponibilidade para outros.
• 02Engenharia social do nosso povo, parceiros ou fornecedores.
• 03Ataques físicos contra os nossos escritórios ou funcionários.
• 04Relatórios gerados exclusivamente por um scanner automatizado, sem um impacto demonstrado.
• 05Faltam cabeçalhos de endurecimento sem um caminho de exploração demonstrado.

A nossa postura

Este website utiliza verificações de acesso do lado do servidor, recolha de dados limitada e políticas de navegador restritivas. Sessões privadas de visualização e contadores de abuso são armazenados temporariamente. Os controles de segurança reduzem o risco e exigem revisão contínua.

• 01Um Content Security Policy baseado em nonce permite scripts de aplicativos autorizados e restringe a execução de outros scripts.
• 02HTTP Strict Transport Security com uma idade máxima de um ano para este nome de máquina.
• 03Framing negou diretamente através de ambos os frame-ancestors e X-Frame-Options.
• 04Isolação de origem cruzada: políticas de abertura de origem, recursos e incorporação.
• 05Um Permissions-Policy que entrega todas as capacidades do dispositivo que o site não usa, inclusive para nossa própria origem.
• 06Validação do lado do servidor, limites do tamanho do corpo, verificação de origem e um orçamento de submissão compartilhado sobre o endpoint de contato.
• 07Nenhuma análise de terceiros, gerenciador de tags, pixel de publicidade ou gravador de sessão — em qualquer lugar.

Por favor, não.

Acesse, modifique ou apague dados que não são seus; degrade o serviço para outras pessoas; ou publique detalhes de um problema não resolvido antes de termos uma oportunidade razoável de corrigi-lo.

Contacto

EV MULTI-SECTOR INVESTMENT COMPANY LIMITED
security@evmsi.com