Política de Divulgação de Vulnerabilidades

A TAP agradece a divulgação responsável de vulnerabilidades. Esta política descreve as regras que a regem e como submeter uma denúncia para nós. Note que a TAP pode alterar essa política periodicamente.

Você, um investigador de segurança disposto a contribuir para a descoberta de vulnerabilidades de segurança em nossos aplicativos, deve ler esta política antes de se envolver em tal atividade e seguir as regras aqui descritas.

A TAP não oferece compensação financeira pela submissão de vulnerabilidades.
A TAP pode permitir ser citada como referência nas condições mencionadas nas regras de publicação.

Solicitamos a você que a vulnerabilidade não seja divulgada antes que a TAP confirme sua resolução.
Solicitamos a você que obtenha nossa aprovação por escrito para a divulgação.
Solicitamos a você que omita ou elimine informações confidenciais na divulgação.

Os seguintes domínios: www.flytap.com, booking.flytap.com, myb.flytap.com, store.flytap.com, bidmiles-and-go.flytap.com, www.tapcorporate.com, corporatebooking.flytap.com, www.tapairportugal.com, www.tapme.pt, www.tapcargo.com, www.cartaocreditomilesandgo.flytap.com, cartoesdecredito.flytap.com.
Aplicativo Móvel da TAP Air Portugal (iOS e Android).

Qualquer domínio não incluído especificamente no escopo.
Qualquer outro aplicativo, seja móvel, da Web ou outro, não incluído no escopo.
Vulnerabilidades em serviços integrados pertencentes a outras empresas.

Varreduras automatizadas.
Testes de desempenho ou de estresse e ataques disruptivos, incluindo testes de negação de serviço (DoS ou DDoS).
Ataques a funcionários ou usuários da TAP, incluindo engenharia social, extorsão, spam ou phishing.
Comprometimentos da segurança física.
Introdução de acessos ilegais ou qualquer acesso persistente.
Introdução de alterações em sistemas ou aplicativos.
Modificação ou exclusão de dados em sistemas ou aplicativos.

Saída de varreduras automatizadas.
Práticas recomendadas de segurança, como cabeçalhos de segurança e sinalizadores de cookies.
Versões ou cifras SSL/TLS inseguras.
Problemas com SPF, DKIM e DMARC.
Vulnerabilidades com impacto mínimo.
Uma vulnerabilidade já relatada ou detectada pelos próprios meios da TAP.

Agir de boa-fé e cumprir a legislação aplicável.
Não viole a privacidade, a integridade ou a disponibilidade dos dados.
Não extrai dados.
Comunique imediatamente qualquer vulnerabilidade descoberta exclusivamente à TAP.
Realize as atividades de teste somente na medida necessária para confirmar a vulnerabilidade. Pare assim que puder provar sua existência.
Se não tiver certeza de que as atividades de teste não causarão danos à TAP, interrompa o teste e entre em contato conosco.
Forneça-nos detalhes suficientes para reproduzir a vulnerabilidade.
Permita-nos um período de tempo razoável para analisar, reproduzir e corrigir a vulnerabilidade.
Forneça-nos o relatório em inglês ou português.

Envie-nos um e-mail usando este endereço de e-mail: [email protected].
Recomendamos enfaticamente que você criptografe o relatório usando nossa chave pública PGP [publicada aqui].

Responder em tempo hábil e acusar o recebimento de seu relatório.
Trabalhar com você para entender e validar suas descobertas, bem como discutir questões.
Desenvolver medidas para remediar as vulnerabilidades descobertas em tempo hábil.
Notificá-lo quando a vulnerabilidade for corrigida.

A TAP só utilizará os seus dados pessoais para contatá-lo no âmbito do seu relatório de vulnerabilidade.
No entanto, com base na necessidade de conhecimento, podemos divulgar seus dados pessoais para nossos parceiros executivos, mas sempre em conformidade com a legislação de dados pessoais em vigor.
Manteremos seus dados pessoais por um período não superior a 1 ano, após a conclusão do processo.