POLÍTICA DE DIVULGAÇÃO DE VULNERABILIDADES COORDENADAS

A GoDaddy recomenda que os investigadores trabalhem conosco na tentativa de descobrir possíveis problemas em nossos serviços ou em nosso site. Para incentivar essa cooperação dos investigadores, concordamos que se concluirmos, a nosso exclusivo critério, que uma divulgação satisfaz todas as diretrizes da política do Programa de Divulgação Coordenada da GoDaddy, a GoDaddy não moverá ação cível ou criminal contra a parte divulgadora.

Os domínios não incluídos em GoDaddy estão fora do escopo do Programa de Divulgação Coordenada de Vulnerabilidades, assim como todo o conteúdo hospedado do cliente e todos os programas e plug-ins de terceiros.

As seguintes ações não se qualificam para o Programa de Divulgação Coordenada e não devem ser testadas por investigadores participantes:

• DoS, força bruta, enumeração de usuários ou ataques de DDoS
• Invasões físicas
• Ataques de phishing
• Bugs relacionados a engenharia social
• Ataques de CRIME/BEAST
• CSRF de logout
• Divulgação de banner ou versão
• Registros SPF ausentes
• Listagem de diretórios (exceto se forem detectados dados confidenciais)
• Técnicas Black Hat SEO
• Bugs relacionados a navegadores desatualizados

A GoDaddy não aceita relatórios de verificadores automáticos de vulnerabilidades.

A GoDaddy aceita um relatório de qualquer vulnerabilidade que afete significativamente a confidencialidade ou a integridade de qualquer serviço qualificado da GoDaddy. As vulnerabilidades qualificadas podem incluir, entre outras:

• Scripts entre sites (XSS)
• Falhas de Autenticação e Autorização
• Falsificação de solicitação entre sites (CSRF, Cross-site Request Forgery)
• Execução de Código Remoto
• Injeção de SQL
• Travessia de Diretórios
• Click-jacking
• Escalonamento de privilégios

1. Quanto mais detalhados forem os seus passos para reproduzir o bug, melhor. Isso deve incluir todas as páginas que você acessou, IDs de usuário, links clicadas, etc.
2. A inclusão de vídeos e imagens é sempre muito útil, mas se elas forem acompanhadas de uma descrição, ainda mais.
3. Um código de exploração que funcione de modo consistente pode nos permitir verificar a sua vulnerabilidade mais rapidamente.
4. Lembre-se: detalhes, detalhes, detalhes!

Todas as informações que você coletar sobre a GoDaddy, os funcionários da GoDaddy ou os clientes da GoDaddy (“Informações Confidenciais”) por meio do Programa de Divulgação Coordenada de Vulnerabilidades devem ser mantidas de forma confidencial e só podem ser usadas para fins do Programa. Você só pode divulgar vulnerabilidades após a resolução adequada delas e não pode divulgar Informações Confidenciais sem o consentimento prévio por escrito da GoDaddy. Qualquer divulgação das Informações Confidenciais fora deste requisito resulta na remoção imediata do Programa.

Ao participar do Programa de Divulgação Coordenada de Vulnerabilidades da GoDaddy, você confirma que leu e aceita os Termos de Serviço Universal e a Política de Privacidade da GoDaddy.

Os testes que realizar não podem violar nenhuma lei, interromper serviços nem comprometer dados que não sejam seus.