Segurança

Esta tradução é fornecida por conveniência. Se ela diferir da versão em inglês, prevalece a versão em inglês.

Última atualização: [DATE]

Levamos a segurança do Soffio a sério. Se você encontrou uma vulnerabilidade, conte para nós em particular primeiro, para que possamos corrigi-la antes que outras pessoas possam explorá-la.

Relatar uma vulnerabilidade

Escreva para security@getsoffio.app. O mesmo contato está em getsoffio.app/.well-known/security.txt. [Chave PGP: opcional, veja os pontos em aberto.]

Inclua, por favor:

• o que você encontrou e o que um invasor poderia fazer com isso,
• a versão do Soffio (Ajustes > Sobre) e a sua versão do macOS,
• os passos para reproduzir e uma prova de conceito, se tiver.

Escreva em inglês ou em italiano. Não relate problemas de segurança em lugares públicos, como redes sociais ou fóruns.

O que acontece depois

Avaliamos a gravidade com o CVSS e pelo modo como o problema afeta usuários reais. Mantemos você informado enquanto trabalhamos nisso e avisamos quando a versão corrigida sair. São metas, não promessas; somos uma empresa de uma pessoa só e avisaremos se precisarmos de mais tempo.

Divulgação coordenada

• Dê-nos 90 dias a partir do seu relatório, ou até que haja uma correção, se for antes, antes de publicar os detalhes. Se precisarmos de mais tempo, pediremos e explicaremos por quê.
• Se o problema estiver sendo explorado ativamente, podemos publicar um aviso antes, junto com você.
• Quando a correção sair, publicamos um aviso curto em getsoffio.app/security e o mencionamos nas notas de versão. Daremos crédito a você pelo nome ou pelo apelido, se quiser; diga-nos como.
• Podemos pedir um identificador CVE para problemas graves.

No momento não há programa de recompensas (bug bounty) pago.

Porto seguro (safe harbour)

Se você agir de boa-fé e seguir esta política, não tomaremos medidas legais contra você por causa da sua pesquisa, nem pediremos a ninguém que o faça. Boa-fé significa que:

• você testa só no seu próprio Mac, com as suas próprias contas e os seus próprios dados,
• você não acessa, altera nem apaga dados de outras pessoas,
• você não ataca o nosso site, a Polar, o Groq ou outros serviços de modo que os prejudique ou prejudique seus usuários (nada de negação de serviço, spam ou engenharia social),
• você nos dá um tempo razoável para corrigir o problema antes de publicá-lo.

No escopo

• O app Soffio, sua ferramenta de linha de comando soffio e seu servidor MCP.
• O feed de atualizações e as assinaturas das atualizações.
• O tratamento de licenças dentro do app.
• O site getsoffio.app.

Fora do escopo

• Serviços que não operamos: Groq, Polar, Hugging Face, Ollama, yt-dlp, GitHub, nosso provedor de hospedagem. Relate-os aos seus donos. Ainda queremos saber se o Soffio os usa de forma insegura.
• Problemas que exijam que um invasor já controle a sua conta de usuário do Mac com os mesmos direitos que você, ou que tenha acesso físico a um Mac desbloqueado, a menos que o Soffio piore claramente as coisas.
• Contornar a licença ou o teste no seu próprio Mac. Isso é questão de licenciamento, não uma vulnerabilidade de segurança. Você ainda pode nos contar.
• Relatórios de scanners automáticos sem prova de que o problema é real.
• Cabeçalhos de boas práticas ausentes no site sem impacto real.

Período de suporte

• Cada versão principal do Soffio recebe correções de segurança por pelo menos 2 anos após o seu primeiro lançamento, e por pelo menos 1 ano depois que a próxima versão principal sair, o que for mais tarde.
• As correções saem na versão secundária mais recente daquela versão principal (por exemplo, 1.4.2). As atualizações dentro de uma versão principal são grátis. Mantenha o Soffio atualizado; a verificação automática de atualizações é o jeito mais fácil.
• Anunciamos o fim do suporte de uma versão principal com pelo menos 6 meses de antecedência, em getsoffio.app/security e nas notas de versão do app.
• O Soffio é compatível com as versões do macOS listadas na página de download. Quando deixarmos de dar suporte a uma versão antiga do macOS, a última versão do Soffio para ela será indicada nas notas de versão.

Como as correções chegam até você

As atualizações são entregues pelo atualizador integrado do app (Sparkle). Cada atualização é assinada com a nossa própria chave, e o app verifica a assinatura antes de instalar. O app em si é assinado com um Apple Developer ID e notarizado pela Apple. As notas de versão dizem quando uma atualização contém uma correção de segurança.

Lista de materiais de software (SBOM)

O Soffio usa um pequeno número de componentes de código aberto. Os nomes, versões e licenças deles estão no arquivo THIRD_PARTY_NOTICES dentro do app e em Ajustes > Sobre > Agradecimentos. Uma lista de materiais de software (SBOM) legível por máquina de cada versão está disponível sob pedido em security@getsoffio.app. [Ou: publicada em getsoffio.app/security/sbom.json, veja os pontos em aberto.]

Contato

security@getsoffio.app. Roberto Cinetto, [ADDRESS], [PROVINCE], Canadá.

O mesmo contato está em security.txt.