Política de Segurança

Estes princípios orientam os sistemas que construímos e avaliamos:

• Segurança desde a concepção: requisitos de segurança entram na arquitetura desde o início.
• Menor privilégio: cada acesso é concedido com o mínimo necessário para a função.
• Defesa em profundidade: mais de uma camada de controle, para que a falha de uma não comprometa o todo.
• Transparência responsável: falhas e incidentes são comunicados às partes afetadas com clareza e orientação objetiva.

Tudo abaixo pode ser verificado por qualquer pessoa, nos cabeçalhos e no código servido por este site:

• Conexão sempre cifrada (HTTPS), com HSTS de dois anos e pré-carregamento.
• Política de segurança de conteúdo (CSP) estrita: cada página só executa scripts que carregam um código único gerado a cada visita.
• Proteção contra enquadramento por outros sites e isolamento entre janelas e origens (X-Frame-Options, Cross-Origin-Opener-Policy e Cross-Origin-Resource-Policy).
• Nenhum cookie, nenhum formulário e nenhum script de terceiros. Como em qualquer site, o provedor de hospedagem registra dados técnicos de acesso, como o endereço IP, para operar o serviço.
• Um arquivo security.txt (RFC 9116) com o canal de reporte de vulnerabilidades.

Os controles de cada projeto (testes, revisões, ambientes e prazos) são definidos na proposta técnica e no contrato, conforme o risco e o escopo acordados com o cliente.

Atividades ofensivas, como pentest e red team, só são realizadas sobre sistemas para os quais o responsável deu autorização formal e por escrito, dentro do escopo acordado.

Para relatar uma vulnerabilidade:

• Fale diretamente com um dos fundadores pelo LinkedIn: Paulo Henryque ou Miguel Sergio (links acima).
• Na primeira mensagem, diga apenas que tem um relato de vulnerabilidade. Os detalhes seguem por um canal combinado com você.
• No relato, inclua a descrição, os passos para reproduzir, o impacto estimado e as evidências.

Nossos compromissos:

• Responder ao seu contato e manter você informado sobre a análise e a correção.
• Dar crédito a você pela descoberta, se quiser, quando a correção for publicada.

Fora do escopo deste programa:

• Ataques de negação de serviço (DoS/DDoS).
• Engenharia social contra os fundadores ou colaboradores da Nexy System.
• Spam ou ataques de força bruta.

Este documento é revisado quando nossas práticas mudam. A data e a versão no topo indicam a última alteração.