1. Introdução

​

A METADAX mantém um compromisso contínuo com a segurança da informação e a proteção de dados de clientes, parceiros e colaboradores. Como parte desse compromisso, convidamos pesquisadores de segurança independentes a identificar e reportar vulnerabilidades em nossos sistemas, de forma ética e responsável, em troca de reconhecimento e recompensa.

​

Esta política estabelece as regras, o escopo e as condições para participação no Programa de Bug Bounty da METADAX. Ela complementa a Política de Segurança da Informação já publicada.

​

2. Escopo

2.1 Ativos dentro do escopo

​

Veja abaixo.

​

2.2 Ativos fora do escopo

​

• Infraestrutura de terceiros que a METADAX apenas utiliza, mas não opera diretamente (ex: painel administrativo do Wix, Cloudflare, Vercel, provedores de e-mail transacional)

• Domínios de parceiros não pertencentes à METADAX

• Redes sociais oficiais — reportes sobre essas plataformas devem seguir a política de bug bounty do próprio provedor

• Ataques de negação de serviço (DoS/DDoS)

• Engenharia social, phishing ou pretexting contra colaboradores, clientes ou parceiros

• Testes que envolvam acesso físico às instalações da METADAX

• Spam ou abuso de formulários públicos sem exploração de vulnerabilidade real

• Vulnerabilidades já conhecidas e documentadas publicamente pela METADAX

​

3. Tipos de vulnerabilidade aceitos

​

Seguimos como referência o OWASP Top 10 e o CWE Top 25. Exemplos de vulnerabilidades elegíveis:

​

• Injeção (SQL, NoSQL, comandos, LDAP)

• Cross-Site Scripting (XSS) — refletido, armazenado ou baseado em DOM

• Cross-Site Request Forgery (CSRF) com impacto real

• Quebra de autenticação e gestão de sessão

• Referências diretas inseguras a objetos (IDOR)

• Exposição de dados sensíveis (chaves de API, tokens, credenciais, dados pessoais)

• Configurações incorretas de segurança com impacto explorável

• Falhas de controle de acesso (elevação de privilégio, bypass de autorização)

• Server-Side Request Forgery (SSRF)

• Vulnerabilidades em lógica de negócio com impacto financeiro ou de dados

• Falhas de configuração de DNS/e-mail (SPF, DKIM, DMARC) com potencial de spoofing

​

3.1 Fora do escopo de recompensa

​

• Relatórios de ferramentas automatizadas de scan sem prova de conceito (PoC) ou validação manual

• Ausência de boas práticas sem impacto explorável

• Clickjacking em páginas sem ações sensíveis

• Vulnerabilidades que dependam de acesso físico ao dispositivo do usuário

• Relatórios sobre versões desatualizadas de software sem exploração comprovada

• Ataques que exijam interação improvável do usuário (self-XSS)

​

​

4. Regras de engajamento (Safe Harbor)

​

Ao participar deste programa dentro das regras estabelecidas, o pesquisador tem a garantia de que:

​

1. A METADAX não iniciará ação legal contra pesquisadores que atuem de boa-fé, dentro do escopo definido e respeitando esta política;

2. Qualquer atividade realizada em conformidade com esta política será considerada "acesso autorizado" para fins da Lei nº 12.737/2012 (Lei Carolina Dieckmann) e da Lei Geral de Proteção de Dados (LGPD).

​

Em contrapartida, o pesquisador se compromete a:

​

• Não acessar, modificar, excluir ou exfiltrar dados reais de clientes, colaboradores ou parceiros. Ao encontrar indícios de exposição de dados, o pesquisador deve interromper o teste imediatamente e reportar o achado sem extrair volume de dados além do estritamente necessário para comprovar a vulnerabilidade;

• Não realizar testes que possam degradar a disponibilidade ou integridade dos sistemas em produção;

• Não divulgar publicamente a vulnerabilidade antes da correção e do prazo de divulgação responsável acordado (ver seção 7);

• Realizar os testes apenas nos ativos listados na seção 2.1;

• Fornecer informações de contato válidas para que a METADAX possa se comunicar sobre o reporte.

​

O descumprimento destas regras retira o direito à recompensa e à cobertura de Safe Harbor.

​

5. Classificação de severidade e recompensas

​

A classificação segue o padrão CVSS 3.1, com faixas de recompensa orientativas. Valores finais podem variar conforme impacto real demonstrado, qualidade do relatório e criticidade do ativo afetado.

​

Crítica (CVSS 9.0–10.0) — RCE, exposição massiva de dados de clientes, bypass total de autenticação em sistemas financeiros/CRM.

​

Alta (CVSS 7.0–8.9) — SQLi, SSRF com acesso a rede interna, IDOR com exposição de dados sensíveis.

​

Média (CVSS 4.0–6.9) — XSS armazenado, CSRF com impacto real, falhas de controle de acesso limitado.

​

Baixa (CVSS 0.1–3.9) — XSS refletido de baixo impacto, configurações incorretas sem exploração direta.

​

O valor ou prêmio da recompensa poderá ser definido posteriormente conforme critérios de criticidade, risco, impacto, , responsabilidade, urgência e ações de mitigação.

​

5.1 Regras adicionais

​

• Primeiro a reportar: em caso de duplicidade, apenas o primeiro relatório válido e completo recebido é elegível para recompensa;

• Prova de conceito obrigatória: relatórios sem PoC reprodutível não são elegíveis;

• Recompensas podem ser pagas em dinheiro (via transferência/Pix) ou, a critério do pesquisador, convertidas em créditos para os produtos e serviços da METADAX;

• Colaboradores, ex-colaboradores (até 12 meses após desligamento) e fornecedores diretos com acesso privilegiado aos sistemas testados não são elegíveis para recompensa financeira, mas podem receber reconhecimento público.

​

6. Processo de submissão

​

1. Envio do relatório: via Abertura de Chamados, selecionando a categoria "Segurança / Bug Bounty", ou diretamente para o e-mail de segurança informado na Política de Segurança da Informação;

2. Conteúdo mínimo do relatório: descrição da vulnerabilidade e do ativo afetado, passos para reprodução (PoC), impacto potencial, sugestão de correção (opcional);

3. Confirmação de recebimento: em até 2 dias úteis;

4. Triagem e validação: em até 10 dias úteis, com classificação de severidade e retorno ao pesquisador;

5. Correção: prazo interno-alvo conforme severidade (crítica: até 7 dias; alta: até 30 dias; média/baixa: até 90 dias);

6. Pagamento da recompensa: em até 15 dias úteis após validação e confirmação da correção.

​

7. Divulgação responsável

​

• O pesquisador concorda em não divulgar publicamente detalhes da vulnerabilidade até que a METADAX confirme a correção ou até 90 dias corridos após o reporte inicial, o que ocorrer primeiro;

• Extensões de prazo podem ser acordadas mutuamente em casos de maior complexidade de correção;

• A METADAX pode, a critério próprio e mediante consentimento do pesquisador, publicar reconhecimento público (nome ou pseudônimo) em um "Hall da Fama" de segurança.

​

8. Tratamento de dados pessoais (LGPD)

​

• Os dados fornecidos pelo pesquisador no momento da submissão (nome, e-mail, dados de contato) serão tratados exclusivamente para fins de gestão do programa de bug bounty, comunicação e pagamento de recompensas, em conformidade com a Política de Privacidade da METADAX;

• Caso o pesquisador tenha acesso incidental a dados pessoais de terceiros durante o teste, deve reportar o fato imediatamente e não reter, copiar ou processar tais dados além do necessário para comprovação técnica do achado.

​

9. Alterações a esta política

​

A METADAX pode atualizar esta política a qualquer momento. A versão vigente é sempre a publicada em metadax.com.br. Alterações materiais no escopo, nas recompensas ou nas regras de engajamento serão comunicadas com destaque nesta página.

​

10. Dúvidas e Sugestões

​

Dúvidas e sugestões sobre esta política e sobre o programa, podem ser direcionadas pelos canais oficiais de segurança da METADAX, listados na Política de Segurança da Informação.