Política de divulgação de vulnerabilidades

O Banger Mail acolhe pesquisas de segurança feitas de boa-fé. Se você acredita ter encontrado uma vulnerabilidade, envie um e-mail para security@team.bangermail.com. Inclua o host ou aplicativo afetado, passos para reproduzir o problema, impacto esperado e logs ou capturas que nos ajudem a entendê-lo. Atualmente não publicamos uma chave PGP; evite enviar segredos, dados pessoais ou conteúdo de Caixas de e-mail desnecessários.

Como relatar

Envie um relato por problema sempre que possível. Inclua detalhes suficientes para reproduzir o comportamento com segurança e informe se acredita que o problema está sendo explorado ativamente. Pare os testes quando tiver evidências suficientes para demonstrar a vulnerabilidade.

Escopo

Dentro do escopo:

• app.bangermail.com, o aplicativo web do Banger;
• api.bangermail.com, a API do Banger, incluindo o servidor MCP em api.bangermail.com/mcp e seus endpoints OAuth;
• auth.muchbetterapps.com, o serviço de entrada na conta usado pelo Banger (ele mantém o antigo nome da empresa);
• cloud.bangermail.com, que cuida das conexões de Caixas de e-mail do Google; e
• bangermail.com, o site público, incluindo as ferramentas gratuitas.

São especialmente úteis os relatos sobre autenticação, OAuth e autorização de agentes, chaves de API, permissões de ferramentas MCP, acesso entre espaços de trabalho, roteamento de e-mails, envio no domínio de outro cliente, proteção de dados de Caixas de e-mail ou exposição de dados sensíveis.

Fora do escopo

Estão fora do escopo: negação de serviço ou testes automatizados de alto volume, engenharia social, ataques físicos, tomada de contas por reutilização de senhas e vulnerabilidades presentes apenas em serviços de terceiros não operados pela BangerMail Inc. Não envie spam, não faça phishing nem ataques com credenciais vazadas, não mantenha acesso persistente, não extraia dados e não consulte dados além do necessário para demonstrar o problema.

Prazo de confirmação de recebimento

Confirmaremos o recebimento de relatos dentro do escopo em até 3 dias úteis e podemos pedir detalhes adicionais durante a investigação. Priorizamos os relatos pelo provável impacto nos usuários, pela possibilidade de exploração e por indícios de impacto nos dados de Caixas de e-mail ou no acesso à conta.

Proteção aos pesquisadores

Consideramos autorizada a pesquisa de boa-fé que segue esta política. Se você respeitar o escopo, evitar danos à privacidade e interrupções do serviço, relatar prontamente acessos acidentais e não reter nem compartilhar dados, não tomaremos medidas legais por essa pesquisa.

Divulgação coordenada

Nosso prazo padrão de divulgação coordenada é de 90 dias após a confirmação de recebimento, salvo acordo mútuo diferente ou exploração ativa que exija uma ação mais rápida. Este não é um programa de recompensas pagas por vulnerabilidades.