Política de divulgação coordenada
Se encontrou uma vulnerabilidade num sistema nosso, queremos saber. Esta página diz o que está no âmbito, como nos fazer chegar o relatório e o que pode esperar de nós.
Âmbito
Este site, folhas.io, e os repositórios públicos da Folhas Etéreas. O Aeromate, o produto que estamos a desenvolver, entra no âmbito quando estiver no mercado, e o canal será este.
Os sistemas de terceiros ficam de fora. Uma falha na plataforma de alojamento (Cloudflare) comunica-se pelo programa da própria Cloudflare.
Como reportar
Por email, para oi@folhas.io. Ajuda saber o que encontrou, onde (endereço ou repositório, e versão), como se reproduz e que impacto lhe atribui.
Para cifrar a mensagem, use a chave PGP, válida até 5 ago 2028, e confirme a impressão digital antes de a usar:
47F4 8CE0 08B5 D2FA 6586 C4CA E26F 2857 340E 0143
Os mesmos dados estão em formato normalizado nosecurity.txt (RFC 9116).
O que fazemos
- Confirmamos a receção em até dois dias úteis.
- Avaliamos o relatório e dizemos-lhe o que concluímos e o que vamos fazer.
- Mantemo-lo a par até à correção e combinamos consigo a data de divulgação.
- Se o quiser, damos-lhe crédito na divulgação, com o nome ou o pseudónimo que indicar.
O que pedimos
- Tempo razoável para corrigir antes de qualquer divulgação pública.
- Que não aceda a dados que não sejam seus, nem os altere ou retire. Se der com dados de terceiros, pare e avise-nos.
- Que não faça testes que degradem o serviço para quem visita o site.
Limites
Não temos programa de recompensas. Esta página descreve como tratamos os relatórios que recebemos: não é uma promessa jurídica («safe harbour») nem afasta a lei aplicável.
O artigo sobre divulgação coordenadaexplica porque é que o Cyber Resilience Act pede a cada fabricante um canal como este.
Versão de 23 out 2026.