Ferramenta gratuita

Gerador gratuito de políticas de divulgação de vulnerabilidades

O gerador cria uma política de divulgação de vulnerabilidades que inclui o âmbito de aplicação, as cláusulas de isenção de responsabilidade e os prazos de resposta, bem como o ficheiro security.txt que indica aos investigadores onde a encontrar.

Crie a sua apólice Gerador de security.txt
  • Política de divulgação
  • Cláusula de isenção de responsabilidade
  • ficheiro security.txt
  • Lista de verificação para publicação

Elabore a sua política de divulgação de vulnerabilidades.

Siga os 3 passos e copie os resultados no passo 4.

Fale-nos sobre a sua organização

A página onde irá publicar a política. O ficheiro security.txt contém um link para essa página.

Um por linha. Deixe em branco para incluir o seu site e os seus subdomínios.

Escolha a forma como as pessoas apresentam os relatórios

Indique pelo menos uma forma de comunicar. O ficheiro security.txt apresenta-as por esta ordem.

A página do seu programa numa plataforma como a HackerOne, a Bugcrowd, a Intigriti ou a YesWeHack.

Faltam menos de um ano a partir de hoje. Atualize o ficheiro antes desta data.

Um link para a sua chave pública, que os investigadores utilizam para encriptar os seus relatórios. O ficheiro contém um link para a chave, mas não a armazena.

Estabelecer as regras

Recompensas
Métodos de ensaio não permitidos
security.txt

O ficheiro na sua localização no seu site e um resumo da política.

Copie o seu ficheiro policy e o ficheiro security.txt

Revê o texto antes de o publicares. Encontra-se a seguir às tuas respostas acima.

Introduza o nome da sua organização para ver a sua política e o ficheiro security.txt.

O gerador elabora texto com base nas suas respostas, na norma RFC 9116 e em modelos comuns de políticas de divulgação, como o da Agência de Cibersegurança e Segurança das Infraestruturas dos EUA (CISA). Não se trata de aconselhamento jurídico. Analise a política antes de a publicar e verifique a formulação da cláusula de isenção de responsabilidade com um advogado: esta abrange apenas as ações da sua organização, não as de outras partes ou de autoridades judiciais.

Onde publicar a sua política.

Os investigadores procuram uma página de segurança, um ficheiro security.txt ou um endereço de e-mail de segurança. Coloque a política no local onde eles procuram e certifique-se de que alguém responde.

  1. Uma página dedicada. Publique a política num link curto, como /segurança ou /política-de-divulgação-de-vulnerabilidades.

  2. O rodapé do seu site. Coloque um link para a política no rodapé, ao lado da sua Política de Privacidade e dos Termos e Condições.

  3. O ficheiro security.txt. Carregue o ficheiro para /.well-known/security.txt. A linha «Policy» contém um link para a página.

  4. A caixa de entrada de notificações. Configure o endereço de e-mail de segurança e certifique-se de que alguém o consulte todos os dias úteis.

  5. Os seus produtos. Nos termos da Lei da Resiliência Cibernética da UE, indique o nome do contacto e o link para a política nas informações do utilizador de cada produto.

  6. Um relatório de teste. Envie um relatório de teste por cada rota, verifique o tempo de resposta e reveja a política uma vez por ano.

As regras

O que as regras exigem.

Cada linha indica uma lei, uma norma ou uma diretiva governamental, quando aplicável, e o que esta exige da vossa política de divulgação.

Leis e normas relativas à divulgação de vulnerabilidades, em que casos se aplicam e o que exigem
Lei ou norma Quando se aplica O que pede
RFC 9116 (security.txt) Qualquer site. Trata-se de uma norma voluntária da Internet. Um ficheiro de texto simples em /.well-known/security.txt, disponibilizado através de HTTPS, com, pelo menos, uma linha «Contact» e uma data de validade («Expires»), de preferência com menos de um ano de antecedência.
Lei da UE sobre a Resiliência Cibernética (Regulamento (UE) n.º 2024/2847) Fabricantes de software e de produtos conectados vendidos na UE. A obrigação de comunicação entra em vigor a partir de 11 de setembro de 2026; os restantes requisitos, a partir de 11 de dezembro de 2027. Uma política coordenada de divulgação de vulnerabilidades e um endereço de contacto para a apresentação de relatórios (Anexo I, Parte II), um ponto de contacto único indicado nas informações do utilizador (Anexo II) e a comunicação à ENISA, no prazo de 24 horas, de vulnerabilidades que estejam a ser exploradas ativamente.
Diretiva NIS2 (UE) 2022/2555 Entidades essenciais e importantes na UE, tais como prestadores de serviços na nuvem, de alojamento e de infraestruturas digitais. Gestão e divulgação de vulnerabilidades no âmbito das medidas de segurança (artigo 21.º). Os CSIRT nacionais coordenam a divulgação entre investigadores e empresas (artigo 12.º).
Regime de Segurança dos Produtos e Infraestruturas de Telecomunicações (PSTI) do Reino Unido Fabricantes de produtos de consumo conectáveis vendidos no Reino Unido, desde 29 de abril de 2024. Um procedimento oficial para comunicar problemas de segurança e o prazo dentro do qual os autores das comunicações recebem uma confirmação de receção e atualizações sobre o estado do processo.
Diretiva Operacional Vinculativa 20-01 da CISA, EUA Agências civis federais dos EUA. O seu modelo de política serve de referência para as empresas. Uma política publicada que inclua os sistemas abrangidos, as modalidades de comunicação de problemas, o compromisso de não intentar ações judiciais contra investigações realizadas de boa-fé e o compromisso de acusar a receção das comunicações no prazo de 3 dias úteis.
ISO/IEC 29147 e ISO/IEC 30111 Qualquer organização. Trata-se de normas internacionais, frequentemente exigidas nas avaliações de segurança. Como receber relatórios e publicar avisos (29147), e como confirmar, resolver e acompanhar cada relatório dentro da sua organização (30111).

Gerador de Políticas de Utilização Aceitável

A vossa Política de Utilização Aceitável estabelece as regras para todos os outros.

O Gerador de Políticas de Utilização Aceitável da TermsFeed proíbe a realização de testes ou análises ao seu serviço sem autorização por escrito e solicita aos utilizadores que lhe comuniquem quaisquer vulnerabilidades. A sua política de divulgação concede essa autorização aos investigadores que a respeitem.

Gerar Política de Utilização Aceitável

Perguntas frequentes.

Respostas a perguntas frequentes sobre as políticas de divulgação de vulnerabilidades.

O que é uma política de divulgação de vulnerabilidades?

Uma política de divulgação de vulnerabilidades indica aos investigadores de segurança como devem comunicar uma vulnerabilidade que encontrem nos vossos sistemas e o que a empresa fará com essa comunicação.

Normalmente, uma política abrange o seguinte.

  • Os sistemas abrangidos e aqueles que não estão abrangidos.
  • Os métodos de teste que não são permitidos, tais como ataques de negação de serviço.
  • Como efetuar a notificação e o que incluir.
  • O prazo de resposta e quando os detalhes serão divulgados publicamente.
  • Uma promessa de não intentar ações judiciais contra investigações realizadas de boa-fé, conhecida como «safe harbor».

Preciso de uma política de divulgação de vulnerabilidades?

Algumas leis exigem-na, e todos os sítios Web beneficiam da sua existência.

  • A Lei da Resiliência Cibernética da UE exige que os fabricantes de software e de produtos conectados vendidos na UE adotem uma política coordenada de divulgação de vulnerabilidades, a partir de 11 de dezembro de 2027.
  • O regime PSTI do Reino Unido exige que os fabricantes de produtos de consumo conectáveis publiquem informações sobre como comunicar problemas de segurança.
  • A Diretiva NIS2 da UE inclui a divulgação de vulnerabilidades entre as medidas de segurança das entidades essenciais e importantes.

Sem uma política, um investigador que descubra uma vulnerabilidade não sabe a quem comunicar o problema e, por vezes, acaba por a divulgar sem vos informar.

Uma política de divulgação de vulnerabilidades é o mesmo que um programa de recompensas por bugs?

Não. Uma política de divulgação de vulnerabilidades incentiva a apresentação de relatórios. Um programa de recompensas por bugs incentiva a apresentação de relatórios e paga por eles.

  • Uma política pode ser publicada gratuitamente e funciona por si só.
  • Um programa de recompensas por bugs acrescenta recompensas, sendo frequentemente gerido numa plataforma como a HackerOne ou a Bugcrowd, de acordo com as regras estabelecidas pela plataforma.

A maioria das organizações começa por adotar uma política e adiciona recompensas posteriormente.

O que significa «safe harbor» numa política de divulgação?

A cláusula de isenção de responsabilidade constitui a sua garantia de que a investigação que cumpre a política está autorizada e de que não intentará qualquer ação judicial contra a mesma.

  • Abrange as atividades da sua organização.
  • Não impede que outras partes, tais como um fornecedor de alojamento ou o Ministério Público, tomem medidas.
  • A investigação tem de seguir a política: o âmbito, os métodos de teste e as regras de divulgação.

Verifique a redação com um advogado antes de a publicar.

Com que rapidez devemos responder a uma denúncia?

Muitas políticas confirmam que receberam uma notificação no prazo de 3 dias úteis, tal como previsto no modelo da CISA.

  • Escolha prazos de resposta que a sua equipa consiga cumprir sempre: uma resposta em falta é a razão mais comum pela qual os investigadores publicam os resultados antecipadamente.
  • O regime PSTI do Reino Unido pede-lhe que publique os seus prazos de resposta, e não que cumpra um número fixo de dias.
  • É comum um prazo de 90 dias antes de os detalhes serem tornados públicos.

O Gerador de Políticas de Divulgação de Vulnerabilidades é gratuito?

Sim, o Gerador de Políticas de Divulgação de Vulnerabilidades é gratuito.

  • O gerador não requer a criação de uma conta.
  • O gerador também cria o ficheiro security.txt.

Crie a sua política com o gerador acima.