Política de segurança
Encontrou um problema de segurança no Bluesky.bot? Obrigado por nos avisar. Reporte-o em privado, para podermos proteger os criadores de bots antes de algo se tornar público.
Reportar uma vulnerabilidade
Escreva para [email protected], em inglês ou francês.
Não abra uma issue, publicação ou discussão pública sobre um problema de segurança.
Por favor inclua:
- uma descrição do problema e do seu impacto;
- os passos para o reproduzir ou uma prova de conceito;
- os URL, rotas ou ficheiros afetados;
- qualquer correção sugerida.
Não inclua dados reais de utilizadores nem credenciais ativas no relatório.
O que esperar
- Confirmação de receção em até 72 horas.
- Uma primeira avaliação em até 7 dias.
- Uma correção e, depois, uma divulgação pública coordenada consigo quando os utilizadores estiverem protegidos. O crédito é dado se o desejar.
Âmbito
- A aplicação web em bluesky.bot e a resolução de handles *.bluesky.bot (/.well-known/atproto-did)
- O início de sessão OAuth do Bluesky e a gestão de sessões
- A API pública, o back-office de administração e o serviço de etiquetas
Fora de âmbito: negação de serviço por volume, engenharia social e problemas em serviços de terceiros (Bluesky, Cloudflare), que devem ser reportados a eles.
Versões suportadas
Só a implementação de produção atual em bluesky.bot recebe correções de segurança.
Contacto legível por máquinas
O mesmo contacto é publicado em /.well-known/security.txt (RFC 9116).