Programa Tilda de recompensa por bugs

Este programa abrange vulnerabilidades em serviços, ferramentas e aplicativos web de propriedade da Tilda.

Os testes de segurança são permitidos, desde que sejam realizados:

• Utilizando apenas suas próprias contas Tilda.
• Dentro das funcionalidades disponíveis no plano de tarifas correspondente.
• Sem interromper os sistemas de produção.

Para testar funcionalidades avançadas, você pode usar uma conta com um período de avaliação de 14 dias do Plano Pessoal ativo.

Sites de propriedade dos usuários, bem como vulnerabilidades em serviços e integrações de terceiros — tais como provedores de pagamento, serviços de entrega, serviços de coleta de dados etc. — estão fora do escopo, mesmo que estejam conectados à Tilda.
Pode haver uma exceção quando a vulnerabilidade estiver do lado da Tilda — por exemplo, transferência incorreta de dados, vazamento de informações confidenciais em solicitações, falhas na lógica de integração etc.

As seguintes categorias de relatórios também estão fora do escopo:

Damos a máxima prioridade às vulnerabilidades que afetam a confidencialidade, a integridade ou a disponibilidade dos dados, incluindo:

No âmbito deste programa, você não deve:

Se você encontrou uma vulnerabilidade, envie-nos um e-mail para: bugbounty@tilda.cc

Assunto do e-mail: Relatório do Programa de Recompensa por Bugs do
– [Breve descrição da vulnerabilidade]

Seu relatório deve incluir:

• O serviço ou ferramenta afetado.
• O tipo de vulnerabilidade.
• Uma descrição do impacto potencial.
• Instruções passo a passo para a reprodução.
• Uma prova de conceito, se for o caso.
• Recomendações de correção, se houver.

Relatórios sem etapas reproduzíveis podem ser rejeitados.
O tempo médio de resposta inicial é de 1 dia útil.

A classificação e a gravidade das vulnerabilidades são determinadas com base na Taxonomia de Classificação de Vulnerabilidades (VRT) da Bugcrowd.
A avaliação final também leva em consideração:

As recompensas são baseadas na classificação atribuída e variam de US$ 25 a US$ 3.000, em linha com os pagamentos oferecidos pelas principais plataformas de Bug Bounty, como HackerOne e Bugcrowd.
As recompensas são pagas apenas pelo primeiro relato correto e válido de uma vulnerabilidade específica.
A decisão final sobre a classificação da vulnerabilidade e o valor da recompensa é tomada pela equipe de segurança da Tilda com base nos critérios estabelecidos.