Skip to main content

Worten – Equipamentos para o lar

Menu
Menu
Home / Compliance / Cibersegurança / Divulgação Responsável de Vulnerabilidades

Divulgação Responsável de Vulnerabilidades

És um utilizador da comunidade infosec e descobriste vulnerabilidades nos nossos sistemas? Então gostaríamos de contar com a tua ajuda para as identificar e procedermos ao seu tratamento. Na Worten, levamos a segurança a sério. Reconhecemos a importância da colaboração com utilizadores de segurança para que, através de um canal adequado, possamos identificar e tratar vulnerabilidades antes que possam ser exploradas.

Este espaço é designado para que utilizadores relatem vulnerabilidades de forma ética e responsável, contribuindo para a segurança das nossas plataformas de serviços e nos servidores que suportam o seu funcionamento.

 

1. Diretrizes para utilizadores

Os utilizadores que queiram participar no programa devem atuar de boa-fé, cumprir a legislação aplicável e a presente Política. Nesse caso, a Worten considerará as atividades dos utilizadores como autorizadas e promoverá a colaboração para compreender e resolver as vulnerabilidades reportadas.

No entanto, caso seja detetada qualquer atividade que viole a legislação aplicável ou a presente Política ou qualquer ação do utilizador que crie ou torne real qualquer vulnerabilidade nos nossos sistemas, serão acionados os meios legais competentes ao dispor.

Em particular, no exercício das suas atividades, é imperativo que:

  • Não armazene, partilhe, comprometa ou destrua dados da Worten ou dos seus clientes. Se qualquer dado pessoal, informação confidencial ou segredo comercial, for encontrada as atividades devem ser imediatamente suspensas, os dados imediatamente eliminados do seu sistema e a Worten deve ser imediatamente contactada através deste email dpo@worten.pt.

  • Não realize nenhuma atividade que possa interromper os nossos sistemas ou serviços, ou que comprometa a disponibilidade da plataforma.

  • Não tire partido da vulnerabilidade ou do problema que detetou.

  • Utilize apenas uma exploração inofensiva para confirmar a presença de uma vulnerabilidade.

  • Não utilize ferramentas de exploração automatizadas que possam gerar tráfego excessivo.

  • Respeite a privacidade, confidencialidade e integridade dos dados.

  • Não divulgue as vulnerabilidades identificadas até que elas estejam corrigidas e que seja dado consentimento expresso pela Worten.

  • Não inicie qualquer transação financeira indevida.

Este canal de reporte não deve ser utilizado para:

  • Quaisquer outras comunicações que não fazem parte do âmbito deste programa, tais como denúncias de sites/sms fraudulentos ou credenciais expostas, devem ser reportadas nos canais adequados, nomeadamente Canal de Denúncias – Worten – Equipamentos para o lar (Na opção do Âmbito da Denúncia: proteção da privacidade e dos dados pessoais e segurança da rede e dos sistemas de informação (exclusão do exercício de pedido de direitos))

2. Perímetro de Análise

2.1. Dentro do Âmbito

Os testes apenas são autorizados no seguinte âmbito, incluido os seus subdomínios:

  • *.worten.es

  • *.worten.pt

  • *.iservices.be

  • *.iservices.nl 

  • *.iservices.fr 

  • *.iservices.es 

  • *.iservices.pt

  • *.satfiel.com

  • *.lojadaspecas.pt

  • *.zaask.pt

2.2. Fora do Âmbito

É vedado, e punido nos termos legalmente previstos, o uso das seguintes práticas no âmbito da execução do teste:

  • Mecanismos de negação de serviço (DoS) ou negação de serviço distribuída (DDoS);
  • Engenharia social, definido como facto de enganar de responsáveis ou utilizadores dos sistemas de informação com vista à disponibilização de informação sensível ou sigilosa;
  • “Phishing” e variantes;
  • Roubo ou furto de palavras-passe ou outras informações sensíveis;
  • Eliminação ou alteração dolosa de dados informáticos;
  • Aplicação dolosa de danos ao sistema de informação;
  • Instalação e distribuição de software malicioso;
  • Questões relacionadas às recomendações gerais de segurança:
  • Erros relacionados a códigos HTTP comuns;
  • Falsificação de conteúdo ou injeção de cabeçalho de host;
  • Arquivos ou diretórios conhecidos publicamente com informações não confidenciais (por exemplo: robots.txt);
  • Inexistência de cabeçalhos de segurança HTTP (ex.: Strict-Transport-Security; Opções de quadro X; Proteção X-XSS; x-Content-Type-Options; Política de Segurança de Conteúdo);
  • Configurações SPF, DKIM e DMARC;
  • Versões de software obsoletas sem vulnerabilidades conhecidas;
  • Testes relacionados à limitação de taxa (rate limiting), como tentativas de exaustão de recursos por requisições em massa ou automatizadas;
  • Relatos de clickjacking (ausência de cabeçalhos como X-Frame-Options ou Content-Security-Policy), estão fora do escopo deste programa, exceto se explorarem ações sensíveis ou impacto demonstrável;
  • Configurações de expiração de cookies de sessão (e.g. Set-Cookie com tempo elevado);
  • Self-exploitation, como self-XSS ou self-DoS (a menos que possa ser usado para atacar uma conta diferente);
  • Cross-Site Request Forgery (CSRF) em formulários sem ações sensíveis (e.g. logout);
  • Autocomplete de usuários no formulário de acesso;
  • Divulgação de CAPTCHA fraco, ou onde o CAPTCHA pode ser contornado;
  • Divulgação de versão de software / Problemas de identificação de banner / Mensagens de erro descritivas ou cabeçalhos (por exemplo, rastreamentos de pilha, erros de aplicativo ou servidor);
  • Realização de testes e ataques contra instalações físicas.

3. Como Submeter Vulnerabilidades

  • As vulnerabilidades identificadas devem ser submetidas através do endereço de correio eletrónico: rvd@worten.pt

  • Para garantir a confidencialidade e integridade da informação, deve ser utilizada a chave PGP para comunicação criptografada: link

  • Para garantir que a Worten dê o devido seguimento, o relatório do Utilizador deve conter as seguintes informações:

a)      Incluir uma descrição da vulnerabilidade, onde foi descoberta, ou seja, o sistema/endereço IP envolvido, bem como a consequência de sua exploração;

b)      Fornecer uma descrição detalhada das etapas necessárias para replicar a vulnerabilidade;

c)      Utilizar a língua portuguesa ou inglesa;

d)      Se for pós-autenticação, o ID do Utilizador usado quando a vulnerabilidade foi descoberta, uma prova de conceito;

e)      Incluir evidências relevantes ao relatório (código, etc.)

  •  Orientações gerais:

Deve ser enviada uma vulnerabilidade por relatório, a menos que sejam relacionadas.

Se forem submetidas vulnerabilidades em duplicado, a Worten apenas fará a triagem do primeiro relatório recebido (desde que este possa ser totalmente reproduzido).

Várias vulnerabilidades causadas por um problema subjacente serão tratadas como um único relatório válido.

4. Resposta da Worten

  • Comunicação inicial automática que informa o recebimento do relatório de vulnerabilidade.

  • Resposta no prazo máximo de trinta dias, com a avaliação da vulnerabilidade reportada e a estimativa temporal de correção.

  • A Worten poderá ao seu critério, fornecer atualizações regulares sobre o status do relatório.

  • Os utilizadores que relatarem vulnerabilidades válidas poderão ser reconhecidos no nosso site institucional.

5. Garantias Legais

  • Para os utilizadores que ajam de boa-fé, com respeito pela legislação aplicável e a presente Política, a Worten garante que:

  • Não serão tomadas ações legais.

  • A privacidade e a reputação do utilizador serão protegidos.

  • Apenas serão partilhados dados com terceiros se decorrente de obrigação legal.

6. Exclusão de Recompensas Monetárias

Não oferecemos recompensas financeiras por relatórios de vulnerabilidades (Programa “Bug Bounty”).  No entanto, reconhecemos e valorizamos os esforços, pelo que, caso exista autorização dos Utilizadores para o efeito, faremos um reconhecimento público do nome e número de vulnerabilidades encontradas.

7. Agradecimentos

O reconhecimento com a identificação do utilizador que reportou a vulnerabilidade é através do Hall of Fame

Atualizado em 13/07/2026