GoDaddy

POLÍTICA DE DIVULGAÇÃO DE VULNERABILIDADES COORDENADAS

Divulgação Coordenada de Vulnerabilidades

A GoDaddy recomenda que os investigadores trabalhem conosco na tentativa de descobrir possíveis problemas em nossos serviços ou em nosso site. Para incentivar essa cooperação dos investigadores, concordamos que se concluirmos, a nosso exclusivo critério, que uma divulgação satisfaz todas as diretrizes da política do Programa de Divulgação Coordenada da GoDaddy, a GoDaddy não moverá ação cível ou criminal contra a parte divulgadora.

Vulnerabilidades não elegíveis

Os domínios não incluídos em GoDaddy estão fora do escopo do Programa de Divulgação Coordenada de Vulnerabilidades, assim como todo o conteúdo hospedado do cliente e todos os programas e plug-ins de terceiros.

As seguintes ações não se qualificam para o Programa de Divulgação Coordenada e não devem ser testadas por investigadores participantes:

DoS, força bruta, enumeração de usuários ou ataques de DDoS
Invasões físicas
Ataques de phishing
Bugs relacionados a engenharia social
Ataques de CRIME/BEAST
CSRF de logout
Divulgação de banner ou versão
Registros SPF ausentes
Listagem de diretórios (exceto se forem detectados dados confidenciais)
Técnicas Black Hat SEO
Bugs relacionados a navegadores desatualizados

A GoDaddy não aceita relatórios de verificadores automáticos de vulnerabilidades.

Vulnerabilidades elegíveis

A GoDaddy aceita um relatório de qualquer vulnerabilidade que afete significativamente a confidencialidade ou a integridade de qualquer serviço qualificado da GoDaddy. As vulnerabilidades qualificadas podem incluir, entre outras:

Scripts entre sites (XSS)
Falhas de Autenticação e Autorização
Falsificação de solicitação entre sites (CSRF, Cross-site Request Forgery)
Execução de Código Remoto
Injeção de SQL
Travessia de Diretórios
Click-jacking
Escalonamento de privilégios

Sugestões para bons relatórios

Quanto mais detalhados forem os seus passos para reproduzir o bug, melhor. Isso deve incluir todas as páginas que você acessou, IDs de usuário, links clicadas, etc.
A inclusão de vídeos e imagens é sempre muito útil, mas se elas forem acompanhadas de uma descrição, ainda mais.
Um código de exploração que funcione de modo consistente pode nos permitir verificar a sua vulnerabilidade mais rapidamente.
Lembre-se: detalhes, detalhes, detalhes!

Confidencialidade

Todas as informações que você coletar sobre a GoDaddy, os funcionários da GoDaddy ou os clientes da GoDaddy (“Informações Confidenciais”) por meio do Programa de Divulgação Coordenada de Vulnerabilidades devem ser mantidas de forma confidencial e só podem ser usadas para fins do Programa. Você só pode divulgar vulnerabilidades após a resolução adequada delas e não pode divulgar Informações Confidenciais sem o consentimento prévio por escrito da GoDaddy. Qualquer divulgação das Informações Confidenciais fora deste requisito resulta na remoção imediata do Programa.

Jurídico

Ao participar do Programa de Divulgação Coordenada de Vulnerabilidades da GoDaddy, você confirma que leu e aceita os Termos de Serviço Universal e a Política de Privacidade da GoDaddy.

Os testes que realizar não podem violar nenhuma lei, interromper serviços nem comprometer dados que não sejam seus.

Versões traduzidas de políticas e contratos jurídicos são fornecidas apenas como uma conveniência para facilitar a leitura e o entendimento das versões em inglês. O objetivo de fornecer traduções das políticas e contratos jurídicos não é criar um vínculo jurídico, e elas não são um substituto da validade legal das versões em inglês. Em caso de qualquer disputa ou conflito, as versões em inglês das políticas e contratos jurídicos regem, em qualquer caso, nossas relações e prevalecerão sobre os termos em qualquer outro idioma.