Política de Revelação de Vulnerabilidades

A TAP agradece a revelação responsável de vulnerabilidades. Esta política descreve as regras que regem esse processo e a forma como nos pode apresentar um reporte de vulnerabilidade. Tenha em atenção que a TAP pode alterar esta política periodicamente.

Se é um analista de cibersegurança disposto a contribuir para a descoberta de vulnerabilidades de segurança nas nossas aplicações, deve em primeiro lugar ler esta política e seguir as regras aqui descritas.

A TAP não oferece compensação financeira pela apresentação de vulnerabilidades.
A TAP pode autorizar ser citada, como referência, nas condições previstas nas regras de publicação.

Pedimos-lhe que não publique a vulnerabilidade antes de a TAP confirmar a sua resolução.
Pedimos-lhe que obtenha a nossa aprovação por escrito para a publicação.
Pedimos-lhe que omita ou elimine informações confidenciais na publicação.

Os seguintes domínios: www.flytap.com, booking.flytap.com, myb.flytap.com, store.flytap.com, bidmiles-and-go.flytap.com, www.tapcorporate.com, corporatebooking.flytap.com, www.tapairportugal.com, www.tapme.pt, www.tapcargo.com, www.cartaocreditomilesandgo.flytap.com, cartoesdecredito.flytap.com.
Aplicação móvel TAP Air Portugal (iOS e Android).

Qualquer domínio não especificamente incluído no âmbito.
Qualquer outra aplicação, seja móvel, Web ou outra, não incluída no âmbito.
Vulnerabilidades em serviços integrados pertencentes a outras empresas.

Scans automatizados.
Testes de desempenho ou de stress e testes que causem disrupções, incluindo testes de negação de serviço (DoS ou DDoS).
Ataques a funcionários ou utilizadores da TAP, incluindo engenharia social, extorsão, spamming ou phishing.
Quaisquer testes à segurança física.
Introdução de backdoors ou de qualquer acesso persistente.
Introdução de alterações nos sistemas ou aplicações.
Modificar ou apagar dados em sistemas ou aplicações.

Resultados de scans automatizados.
Boas práticas de segurança, tais como security headers e cookie flags.
Versões ou cifras SSL/TLS inseguras.
Configurações relacionadas com SPF, DKIM e DMARC.
Vulnerabilidades com impacto mínimo.
Uma vulnerabilidade já comunicada ou detetada pelos próprios meios da TAP.

Atuar de boa-fé e cumprir a legislação aplicável.
Não violar a privacidade, integridade ou disponibilidade dos dados.
Não extrair dados.
Comunicar imediatamente e exclusivamente à TAP qualquer vulnerabilidade descoberta.
Realizar as atividades de teste apenas na medida do necessário para confirmar a vulnerabilidade. Parar assim que esteja provada a sua existência.
Se não tiver a certeza de que as atividades de teste não causarão danos à TAP, interrompa os testes e contacte-nos.
Fornecer os detalhes suficientes para a TAP poder reproduzir a vulnerabilidade.
Dê-nos um tempo razoável para analisar, reproduzir e corrigir a vulnerabilidade.
Envie-nos o relatório em inglês ou em português.

Envie-nos um e-mail utilizando este endereço: [email protected].
Recomendamos-lhe vivamente que encripte o relatório utilizando a nossa chave pública PGP [publicada aqui].

Responder atempadamente e acusar a receção do seu relatório.
Trabalhar consigo para compreender e validar as suas conclusões, bem como para discutir questões.
Desenvolver medidas para remediar em tempo útil as vulnerabilidades descobertas.
Notificá-lo quando a vulnerabilidade estiver corrigida.

A TAP apenas utilizará os seus dados pessoais para o contactar no âmbito do seu relatório de vulnerabilidade.
No entanto, seguindo o princípio da necessidade de conhecimento, podemos fornecer os seus dados pessoais aos nossos parceiros comerciais, mas sempre em conformidade com a legislação de proteção de dados pessoais em vigor.
Após a conclusão do processo, conservaremos os seus dados pessoais pelo período máximo de um ano.