Segurança pensada para a sua vida financeira

Um canal direto de divulgação responsável para investigadores e a comunidade em geral.

O KlarFort protege a privacidade desde o início, e o trabalho cuidadoso de segurança ajuda a mantê-la assim. Se acredita ter encontrado uma vulnerabilidade na aplicação móvel, neste site ou em qualquer subdomínio de klarfort.com, queremos saber. Tratamos cada denúncia com cuidado e respondemos a todo envio válido.

Âmbito

Estão no âmbito da divulgação responsável:

• A aplicação móvel KlarFort (versão pública atual).
• Este site em klarfort.com e qualquer subdomínio de klarfort.com.

Estão fora do âmbito:

• Problemas em plataformas ou serviços de terceiros que não operamos (lojas de aplicações móveis, o nosso fornecedor de alojamento, o fornecedor de IA usado nas funcionalidades opcionais). Informe-os ao fornecedor correspondente.
• Ataques volumétricos de negação de serviço, engenharia social ou acesso físico.
• Relatórios gerados exclusivamente por scanners automatizados sem prova de conceito.
• Vulnerabilidades que exigem controlo físico de um dispositivo desbloqueado.

O que incluir

Inclua detalhes suficientes para reproduzirmos o problema:

• Uma descrição clara da vulnerabilidade e do seu impacto.
• Etapas para reproduzir, incluindo ambiente ou dados de teste necessários.
• Versão, número da compilação ou commit afetado, se souber.
• Payload de prova de conceito ou captura de ecrã, se aplicável.

Não extraia, retenha, partilhe ou modifique dados de utilizadores além do estritamente necessário para demonstrar o problema. Não execute testes automatizados que possam degradar o serviço para outros utilizadores.

O nosso compromisso

• Confirmaremos a receção no prazo máximo de cinco dias úteis.
• Manteremos o utilizador informado durante a triagem e a correção.
• Não tomaremos medidas legais contra investigadores que sigam esta política de boa-fé.
• Com a sua permissão, daremos crédito público ao utilizador quando o problema for resolvido.

Conceda um prazo razoável, normalmente 90 dias, para tratar denúncias válidas antes de qualquer divulgação pública. Trabalharemos com o utilizador num calendário adequado se o problema exigir mais tempo.

PGP / denúncias assinadas

Se preferir cifrar a sua denúncia, mencione isso no primeiro email e responderemos com uma chave pública atual. Email em texto simples para o endereço acima também é aceite.