Política de Segurança

Última atualização: 17 October 2026

Levamos a sério a segurança do YourImageShare e das pessoas que o usam. Se você encontrou uma vulnerabilidade de segurança, obrigado por nos avisar. Esta página explica como relatá-la, o que você pode esperar de nós e as regras para testar com segurança.

1. Como relatar uma vulnerabilidade

Envie um e-mail para [email protected] ou use o formulário de contato e comece o assunto com "Security". Por favor, não relate vulnerabilidades em locais públicos (issues no GitHub, comentários, redes sociais) antes que sejam corrigidas.

Por favor, inclua:

  • uma descrição do problema e do que um invasor poderia fazer com ele;
  • os passos exatos, URLs e requisições necessários para reproduzi-lo (uma prova de conceito é bem-vinda);
  • a parte afetada: página do site, endpoint da API, extensão de navegador, plugin do WordPress, SDK, bot;
  • como você gostaria de receber os créditos, se quiser.

Nossos dados de contato legíveis por máquina estão em /.well-known/security.txt.

2. O que você pode esperar de nós

  • Confirmação de recebimento em até 5 dias úteis.
  • Primeira avaliação (se conseguimos reproduzir o problema e qual a gravidade) em até 10 dias úteis.
  • Uma correção ou uma atualização de status em até 90 dias. Problemas graves são corrigidos o mais rápido possível, geralmente bem antes.
  • Divulgação coordenada. Por favor, aguarde até que o problema seja corrigido, ou até que se passem 90 dias, antes de publicar os detalhes. Ficamos felizes em combinar uma data com você.

Somos uma equipe pequena. Vamos manter você informado e não vamos ignorar um relato válido.

Se você se esforçar de boa-fé para seguir esta política, consideramos sua pesquisa autorizada. Não tomaremos medidas legais contra você nem o denunciaremos às autoridades por isso, e não bloquearemos sua conta por esse motivo. Se um terceiro tomar medidas legais contra você por uma pesquisa que seguiu esta política, deixaremos claro que seu trabalho foi autorizado.

Boa-fé significa que você:

  • testa apenas com suas próprias contas e seus próprios envios, ou com contas que você tem permissão para usar;
  • para assim que chegar a dados de outras pessoas (envios, dados de conta, mensagens), não os guarda nem os compartilha e nos informa o que acessou;
  • não prejudica o serviço para outras pessoas (sem negação de serviço, sem varreduras automatizadas em grande volume, sem spam);
  • não usa engenharia social, phishing ou ataques físicos contra nossa equipe, usuários ou fornecedores;
  • nos dá um prazo razoável para corrigir o problema antes de divulgá-lo;
  • nunca envia conteúdo ilegal, incluindo material de abuso sexual infantil, por nenhum motivo.

Se você não tiver certeza de que algo é permitido, pergunte antes em [email protected].

4. Dentro do escopo

  • yourimageshare.com e seus subdomínios (por exemplo, i.yourimageshare.com e status.yourimageshare.com);
  • a API pública de upload, sua documentação, nossos SDKs oficiais e o servidor MCP;
  • nossas extensões de navegador, o plugin do WordPress e o bot do Telegram.

Exemplos do que queremos saber: tomada de conta, contorno de autenticação ou autorização, acesso a envios privados ou protegidos por senha de outras pessoas, cross-site scripting que afete outros usuários, cross-site request forgery em ações que alteram dados, server-side request forgery, injeção, execução remota de código e problemas na forma como os arquivos enviados são processados.

5. Fora do escopo

Os itens abaixo não são tratados como vulnerabilidades, a menos que você consiga demonstrar um impacto real sobre os usuários:

  • cabeçalhos HTTP, flags de cookie ou configurações de TLS ausentes ou de "boas práticas", sem um ataque funcional;
  • relatórios sobre a configuração de SPF, DKIM ou DMARC;
  • clickjacking em páginas sem ações sensíveis;
  • self-XSS ou ataques que exigem acesso total ao dispositivo ou ao navegador da vítima;
  • limites de requisições em páginas públicas e enumeração de nomes de usuário ou e-mails por meio de perfis públicos;
  • relatórios de scanners automatizados sem um problema confirmado e reproduzível;
  • ataques de negação de serviço.

6. Conteúdo ilegal ou abusivo não é um relato de segurança

Para denunciar um arquivo enviado que seja ilegal, abusivo ou que viole nossos Termos e Condições, use o botão Denunciar no item ou nosso formulário de denúncia. Essas denúncias são tratadas pela nossa equipe de moderação, e não pelo e-mail de segurança.

7. Recompensas e créditos

Não temos um programa pago de recompensas por bugs (bug bounty). Com a sua permissão, agradeceremos você pelo nome (ou apelido) nos agradecimentos abaixo e nas notas de versão da correção.

8. Agradecimentos

Agradecemos às pessoas a seguir por relatarem problemas de segurança de forma responsável:

  • Nenhum relato creditado até o momento.