Política de Segurança

Última atualização: 17 October 2026

Levamos muito a sério a segurança do YourImageShare e das pessoas que o utilizam. Se encontrou uma vulnerabilidade de segurança, obrigado por nos informar. Esta página explica como a comunicar, o que pode esperar de nós e as regras para testar em segurança.

1. Como comunicar uma vulnerabilidade

Envie um e-mail para [email protected] ou utilize o formulário de contacto e comece o assunto por "Security". Por favor, não comunique vulnerabilidades em locais públicos (issues no GitHub, comentários, redes sociais) antes de estarem corrigidas.

Por favor, inclua:

  • uma descrição do problema e do que um atacante poderia fazer com ele;
  • os passos exatos, URLs e pedidos necessários para o reproduzir (uma prova de conceito é bem-vinda);
  • a parte afetada: página do site, endpoint da API, extensão de navegador, plugin de WordPress, SDK, bot;
  • como gostaria de ser mencionado, se for o caso.

Os nossos dados de contacto legíveis por máquina estão em /.well-known/security.txt.

2. O que pode esperar de nós

  • Confirmação de receção em até 5 dias úteis.
  • Primeira avaliação (se conseguimos reproduzir o problema e qual a sua gravidade) em até 10 dias úteis.
  • Uma correção ou uma atualização do estado em até 90 dias. Os problemas graves são corrigidos o mais depressa possível, normalmente muito antes.
  • Divulgação coordenada. Pedimos que aguarde até o problema estar corrigido, ou até terem passado 90 dias, antes de publicar detalhes. Teremos todo o gosto em combinar uma data consigo.

Somos uma equipa pequena. Manteremos o utilizador informado e não ignoraremos uma comunicação válida.

Se fizer um esforço de boa-fé para cumprir esta política, consideramos a sua investigação autorizada. Não tomaremos medidas legais contra si nem o denunciaremos às autoridades por isso, e não baniremos a sua conta por esse motivo. Se um terceiro tomar medidas legais contra si por uma investigação que cumpriu esta política, tornaremos público que o seu trabalho foi autorizado.

Agir de boa-fé significa:

  • testar apenas com as suas próprias contas e os seus próprios ficheiros carregados, ou com contas que tem permissão para usar;
  • parar assim que aceder a dados de outras pessoas (ficheiros carregados, dados de conta, mensagens), não os guardar nem partilhar, e dizer-nos a que teve acesso;
  • não prejudicar o serviço para os outros (sem ataques de negação de serviço, sem análises automáticas de grande volume, sem spam);
  • não usar engenharia social, phishing nem ataques físicos contra a nossa equipa, utilizadores ou fornecedores;
  • dar-nos um prazo razoável para corrigir o problema antes de o divulgar;
  • nunca carregar conteúdo ilegal, incluindo material de abuso sexual de menores, seja por que motivo for.

Se tiver dúvidas sobre se algo é permitido, pergunte-nos primeiro em [email protected].

4. Dentro do âmbito

  • yourimageshare.com e os seus subdomínios (por exemplo i.yourimageshare.com e status.yourimageshare.com);
  • a API pública de carregamento, a respetiva documentação e os nossos SDKs oficiais e servidor MCP;
  • as nossas extensões de navegador, o plugin de WordPress e o bot do Telegram.

Exemplos do que queremos saber: tomada de controlo de contas, contornar a autenticação ou a autorização, acesso a ficheiros privados ou protegidos por palavra-passe de outras pessoas, cross-site scripting que afete outros utilizadores, cross-site request forgery em ações que alteram dados, server-side request forgery, injeção, execução remota de código e problemas no modo como os ficheiros carregados são processados.

5. Fora do âmbito

Os seguintes casos não são tratados como vulnerabilidades, a menos que possa demonstrar um impacto real nos utilizadores:

  • cabeçalhos HTTP, flags de cookies ou definições TLS em falta ou de "boas práticas", sem um ataque funcional;
  • relatórios sobre a configuração de SPF, DKIM ou DMARC;
  • clickjacking em páginas sem ações sensíveis;
  • self-XSS, ou ataques que exijam acesso total ao dispositivo ou ao navegador da vítima;
  • limites de pedidos em páginas públicas e enumeração de nomes de utilizador ou e-mails através de perfis públicos;
  • relatórios de scanners automáticos sem um problema confirmado e reproduzível;
  • ataques de negação de serviço.

6. Conteúdo ilegal ou abusivo não é uma comunicação de segurança

Para denunciar um ficheiro carregado que seja ilegal, abusivo ou que viole os nossos Termos e Condições, utilize o botão Denunciar no item ou o nosso formulário de denúncia. Estas denúncias são tratadas pela nossa equipa de moderação, e não através do endereço de segurança.

7. Recompensas e reconhecimento

Não temos um programa pago de recompensas por bugs. Com a sua permissão, agradeceremos o seu contributo, com o seu nome (ou alcunha), nos agradecimentos abaixo e nas notas de versão da correção.

8. Agradecimentos

Agradecemos às seguintes pessoas por terem comunicado problemas de segurança de forma responsável:

  • Ainda não há comunicações creditadas.