Programa de recompensa por bugs

A Presta Software paga pesquisadores de segurança por vulnerabilidades válidas nos sistemas que nos pertencem. O programa foi aberto em 1º de novembro de 2026 e funciona de forma contínua; o responsável pela segurança, Marco Presta, faz pessoalmente a triagem de cada relato.

Escopo

Dentro do escopo: prestasoftware.com, todos os subdomínios de prestasoftware.com e qualquer outro serviço exposto à Internet que indicarmos nesta página como de propriedade e operação da Presta Software. Fora do escopo, sempre: sistemas dos nossos clientes ou de terceiros, sites do Governo do Canadá, plataformas dos nossos fornecedores (hospedagem, DNS, e-mail), negação de serviço, engenharia social, acesso físico e constatações que exijam uma credencial roubada para serem reproduzidas.

Recompensas (CAD)

Crítica (execução remota de código, comprometimento total de uma conta ou dos dados): 500
Alta (contorno de autenticação, injeção armazenada, exposição de dados sensíveis): 250
Média (injeção refletida, falhas de controle de acesso, configuração de segurança incorreta com impacto): 100
Baixa (lacunas de hardening com um caminho demonstrado): 25

O orçamento anual é de CAD 2.000; somente o primeiro relato válido de cada problema é pago; a severidade segue o CVSS v4, conforme a nossa avaliação; duplicatas e constatações informativas rendem agradecimentos e, se você quiser, o seu nome nesta página. Pagamento por Interac e-Transfer ou PayPal em até 30 dias após a validação.

Regras e porto seguro

A pesquisa conduzida de boa-fé, dentro deste escopo e destas regras, é autorizada: não moveremos nenhuma ação judicial contra você por ela e diremos isso a quem perguntar. Mantenha o tráfego em um nível razoável (sem inundação), pare e relate assim que puder demonstrar o impacto, nunca leia, altere ou guarde dados que não sejam seus, e nos dê 90 dias antes de qualquer divulgação. Envie o relato para [email protected] com os passos para reproduzir; nosso contato legível por máquina é /.well-known/security.txt. Confirmamos o recebimento em até 2 dias úteis e fazemos a triagem em até 10.

Não são elegíveis: a equipe e os prestadores de serviço da própria Presta Software, e qualquer pessoa em uma jurisdição onde não possamos efetuar pagamentos legalmente. Podemos alterar ou encerrar o programa com aviso prévio de 30 dias nesta página; relatos recebidos antes de uma alteração são tratados segundo os termos em vigor no momento em que chegaram.