Segurança
Política de Divulgação de Vulnerabilidades
Como relatar uma falha de segurança na BeSafe: o que está no escopo, as regras para testar de boa-fé, a proteção a quem segue essas regras e o que acontece depois do relato.
Atualizado em 20 de outubro de 2026
Em uma página
Versão 1.0, redigida em 3 de outubro de 2026. A data de vigência é a da publicação, mostrada no topo desta página.
Se você encontrou uma falha de segurança na BeSafe, queremos saber. A plataforma guarda dados de pessoas de empresas clientes, e um relato bem feito protege essas pessoas.
Em resumo: relate pelo contato de segurança; teste só o mínimo para provar a falha; não acesse, copie nem altere dado de outras pessoas; não use a plataforma nem os domínios de simulação contra ninguém; e espere a correção antes de divulgar.
Quem segue esta política de boa-fé tem a proteção descrita na seção própria. Não há programa de recompensa em dinheiro.
Aviso necessário: esta política precisa de revisão jurídica antes de ser publicada. Revisão jurídica prevista antes da constituição da empresa.
Como relatar
Contato de segurança: bernardo.iannini14@gmail.com.
O mesmo contato é publicado no arquivo /.well-known/security.txt do site, no formato da RFC 9116. O arquivo também aponta para esta página e indica português e inglês como idiomas preferidos. Enquanto o contato não estiver configurado, o arquivo não é publicado, de propósito: um contato inventado seria pior que nenhum.
Inclua no relato: a descrição da falha; o endereço ou a funcionalidade afetada; os passos para reproduzir; o impacto que você conseguiu demonstrar; a data e a hora dos testes; o endereço IP de onde você testou, que ajuda a separar o seu teste de um ataque real; e como falar com você.
Não anexe dado pessoal de terceiros que você tenha visto. Descreva o tipo de dado, sem copiar o conteúdo.
Nesta versão não há chave pública para cifrar o relato.
O que está no escopo
O site público, o painel do administrador e o portal do colaborador, em besafebr.com e nos subdomínios dele.
A API da plataforma, servida na mesma origem do painel, e o endereço que recebe notificações de fornecedores (webhooks).
O rastreador de cliques nos domínios de simulação: a tela que aparece depois do clique, a página de coleta simulada e a passagem para o vídeo de treino. A lista dos domínios de simulação não é publicada aqui; se você precisar confirmar se um domínio é da BeSafe, pergunte pelo contato de segurança.
O endereço de arquivos, que entrega envios e downloads por link assinado.
O console interno da equipe BeSafe não é acessível publicamente: ele fica em endereço próprio, atrás de uma lista de IPs permitidos, e recusa quem está fora dela. Não tente contornar essa barreira. Se você encontrar um caminho para alcançar o console de fora, isso já é um achado: pare e relate.
O que está fora do escopo
Negação de serviço, teste de carga e qualquer teste que degrade a disponibilidade.
Engenharia social contra a equipe BeSafe, contra empresas clientes ou contra colaboradores delas, por qualquer meio.
Ataque físico a escritório, equipamento ou centro de dados.
Serviços de terceiros, como o processador de pagamento, os provedores de inteligência artificial, Slack, Microsoft, Google, Meta e o provedor de hospedagem. Falha nesses serviços deve ser relatada ao próprio fornecedor.
Varredura automatizada em volume e relatório apenas de ferramenta automática, sem demonstração de impacto.
Contas, organizações e dados de clientes reais. Use apenas contas suas.
Regras para testar
Use só contas e organizações criadas por você para o teste. Não há ambiente de teste dedicado a pesquisadores nesta fase.
Acesse, altere ou apague só o mínimo necessário para provar a falha. Se chegar a dado de outra pessoa ou de outra organização, pare na hora, não copie, não guarde e relate.
Não extraia dados, não mantenha acesso, não instale nada persistente e não use a falha para avançar a outros sistemas.
Não envie mensagens a pessoas pela plataforma, não crie campanhas contra ninguém e não use os domínios de simulação para atingir pessoas. Mensagem simulada fora de programa autorizado pela própria organização é abuso, mesmo em teste.
Não degrade o serviço. Se um teste puder afetar outras pessoas, pergunte antes pelo contato de segurança.
Pare e relate assim que confirmar a falha, e mantenha a falha em sigilo até a correção, como descreve a seção de divulgação coordenada.
Proteção a quem pesquisa de boa-fé
Se você seguir esta política de boa-fé, a BeSafe considera a sua pesquisa autorizada, não toma medida judicial contra você por causa dela e, se um terceiro questionar a pesquisa, declara que ela seguiu esta política.
Essa proteção não alcança quem descumpre as regras acima, não autoriza teste em sistema de terceiro e não impede a atuação de autoridade pública. O alcance desta seção depende de revisão jurídica específica.
O que acontece depois do relato
Confirmamos o recebimento pelo mesmo e-mail. Nesta fase de MVP, esta política não fixa prazos de resposta, de avaliação nem de correção: respondemos assim que possível.
Fazemos a avaliação inicial, com a gravidade, e mantemos você informado do andamento.
Corrigimos conforme a gravidade, começando pelas falhas mais graves.
Se o relato revelar acesso indevido a dado pessoal de cliente, a BeSafe segue o procedimento de incidente e comunica as empresas controladoras afetadas, como prevê o Acordo de Tratamento de Dados.
Divulgação coordenada
Pedimos que você não divulgue a falha antes da correção. Nesta fase não há prazo máximo fixo para quando a correção demora: a data da divulgação é combinada com você, como diz o parágrafo seguinte.
A data e o conteúdo da divulgação são combinados entre você e a BeSafe. A divulgação não deve conter dado pessoal nem detalhe que permita repetir o ataque antes da correção.
Recompensa
Não há programa de recompensa em dinheiro. Um relato não gera direito a pagamento. Se isso mudar, esta página dirá.
Recebeu uma mensagem simulada?
Se você recebeu uma mensagem que parecia golpe e caiu numa tela da BeSafe, provavelmente foi uma simulação autorizada pela sua empresa. Isso não é falha de segurança: fale com a área de segurança da informação da sua empresa.
Se você acredita que a BeSafe está sendo usada contra pessoas que não estão num programa da própria organização, relate pelo contato de segurança. Isso é tratado como abuso, conforme a Política de Uso Aceitável.
Revisão jurídica
Aviso necessário: este texto foi redigido a partir do que o código da plataforma faz hoje e de modelos editoriais. Ele não substitui a análise de um advogado e precisa de revisão jurídica antes de ser publicado.
Este aviso fica no documento até que um advogado revise o texto. Revisão jurídica prevista antes da constituição da empresa.
Pontos de atenção nesta política: o alcance da proteção a pesquisadores diante do artigo 154-A do Código Penal, incluído pela Lei nº 12.737/2012; e a compatibilidade com os contratos dos fornecedores de infraestrutura.
Histórico de versões
Versão 1.0, redigida em 3 de outubro de 2026. Primeira versão deste documento. Não há versão anterior.
Cada versão publicada fica arquivada com o período em que vigorou, e uma versão publicada nunca muda de texto: qualquer correção vira versão nova.
Pedidos de titular, dúvidas sobre tratamento e solicitações de acesso passam pelo e-mail bernardo.iannini14@gmail.com ou pelo formulário de contato. Respondemos no prazo legal.