Segurança

Última atualização em 2026-10-01 · como relatar uma vulnerabilidade no Nexus Studio ou nos nossos serviços

Se você encontrar um problema de segurança no Nexus Studio, neste site ou no portal da conta, avise-nos. Esta página explica como fazer isso, o que está no escopo e o que nos comprometemos a fazer em troca. Ela trata apenas do nosso software e dos nossos sistemas: não autoriza testes nos sistemas de terceiros. Como o produto trata os seus dados está em Segurança e privacidade. Para verificar se um instalador é o que publicamos, veja Verificar um download.

Como relatar

Envie um e-mail para security@nexusstudioqa.com com:

• qual é o problema e o que um invasor poderia conseguir com ele;
• a versão do Nexus Studio, ou o endereço, afetada;
• o menor número de passos que o reproduzem;
• seu nome ou apelido, se quiser receber crédito.

Ainda não publicamos uma chave de criptografia. Se um relato for sensível demais para um e-mail comum, escreva primeiro e combinaremos um canal. Nosso security.txt traz o mesmo contato.

Escopo

• Nexus Studio: o Studio, seu engine, sua ferramenta de linha de comando e o instalador, em uma versão obtida de forma legal.
• Este site, o portal da conta em /app e o serviço de licenças em /v1, em nosso próprio domínio.

Fora do escopo

• Os sistemas e as instalações dos nossos clientes. Informe um problema nesses ambientes ao próprio cliente. Não temos acesso às máquinas deles e não podemos agir sobre ele.
• Nossos provedores, como Cloudflare, Stripe, Resend, Google e GitHub. Reporte diretamente a eles; avise-nos também se isso nos afetar.
• Negação de serviço, testes de carga ou spam contra nossos serviços, e engenharia social ou acesso físico contra nós.
• Qualquer coisa alcançada ao testar um sistema que você não tinha autorização para testar.

O que pedimos de você

• Dê-nos um prazo razoável para corrigir o problema antes de divulgá-lo. Pedimos 90 dias e avisaremos se precisarmos de mais tempo e por quê.
• Use apenas o acesso necessário para demonstrar o problema e pare por aí. Use contas que você mesmo criou; nunca a conta, os dados ou o cartão de outra pessoa.
• Não acesse, altere, exclua nem copie dados que não sejam seus. Uma captura de tela de um registro ao qual você tem acesso é prova; uma cópia do banco de dados não é.
• Não prejudique o desempenho dos nossos serviços para outras pessoas.

O que nos comprometemos a fazer

• Confirmar o recebimento do seu relatório em até 5 dias úteis.
• Avaliá-lo e informar se o consideramos uma vulnerabilidade e como pretendemos tratá-lo, em até 15 dias úteis.
• Mantê-lo informado enquanto corrigimos e avisar quando a correção for lançada.
• Dar crédito a você nas notas de versão, se você quiser e o relatório for válido.

Hoje não há recompensa financeira. Um relatório que exija pagamento, ou que ameace divulgar a falha para obter algo, não é pesquisa, e o compromisso de boa-fé não se aplica a ele.

Safe harbor

Se você fizer um esforço de boa-fé para seguir esta política, consideramos sua pesquisa autorizada e:

• não moveremos nem apoiaremos nenhuma ação judicial contra você por ela, cível ou criminal, inclusive com base no Computer Fraud and Abuse Act, em leis estaduais de crimes de informática, no UK Computer Misuse Act ou em leis semelhantes de outros países;
• renunciamos a qualquer pretensão com base na seção 1201 do DMCA, ou em leis semelhantes contra a evasão de medidas de proteção, por contornar a verificação de licença ou outras medidas técnicas do Nexus Studio para pesquisá-lo, e renunciamos às restrições dos nossos Terms, da nossa Acceptable Use Policy e do arquivo LICENSE que, de outra forma, proibiriam essa pesquisa, como engenharia reversa ou o desvio da verificação de licença. Ambas as renúncias valem apenas para uma cópia obtida legalmente, apenas para pesquisa dentro desta política e apenas enquanto você não publicar, compartilhar nem vender uma ferramenta, patch, chave ou método que anule a verificação de licença, e não usar uma cópia contornada para nada além da pesquisa. Elas não abrangem o tráfico de ferramentas de evasão;
• se um terceiro apresentar uma reclamação contra você por pesquisa dentro desta política, deixaremos claro que você agiu conforme ela.

Esta autorização abrange apenas os nossos sistemas no escopo acima. Não podemos autorizar testes em nossos provedores nem em nossos clientes. Se tiver dúvida se algo está no escopo, pergunte-nos antes em security@nexusstudioqa.com.

Como as correções chegam às instalações

O Nexus Studio roda nas máquinas dos nossos clientes, portanto não podemos corrigir uma instalação por conta própria. Lançamos uma versão, e o Studio a anuncia na próxima verificação de licença; instalá-la é uma etapa do cliente. Podemos informar quando uma correção foi lançada, mas nunca que todas as instalações a receberam. As correções no site, no portal e no serviço de licenças são aplicadas assim que as implantamos.

Avisos e notificações de segurança

Se tomarmos conhecimento de que uma vulnerabilidade no Nexus Studio está sendo explorada ativamente, ou de um incidente que afete a sua segurança, nós a comunicamos às autoridades que a lei exigir, inclusive pela EU Single Reporting Platform, nos termos do Cyber Resilience Act. Enviamos um e-mail a todo titular de conta cuja instalação seja afetada, com a descrição do problema e o que fazer, e publicamos um aviso nesta página assim que houver uma correção ou mitigação disponível.