A segurança dos sistemas e das informações é importante para o Rondoscópio, especialmente porque os projetos pretendem lidar com registros públicos e, em circunstâncias específicas, informações de acesso restrito.

Não publique detalhes exploráveis de vulnerabilidades em Issues, Discussions, pull requests ou redes sociais.

Quando o repositório oferecer o recurso de comunicação privada de vulnerabilidades do GitHub, utilize a opção Security > Report a vulnerability. Se o recurso não estiver disponível, procure o canal privado explicitamente informado pelos responsáveis pelo projeto. Não envie detalhes técnicos sensíveis por canais públicos enquanto não houver um meio apropriado.

Um relato pode incluir descrição do problema, componente afetado, versão ou commit, passos mínimos para reproduzir, impacto possível e sugestões de mitigação. Não é necessário realizar testes invasivos para formular um relato responsável.

Não acesse dados que não lhe pertençam, não tente obter persistência em sistemas, não altere registros de terceiros e não interrompa serviços. Não realize testes de negação de serviço ou ações que coloquem pessoas, fontes e dados em risco.

Não compartilhe senhas, tokens, chaves privadas ou dados pessoais de terceiros como prova de conceito. Sempre que viável, utilize exemplos sintéticos ou credenciais temporárias sob seu controle.

Quando houver um canal privado funcional, a divulgação pública de detalhes de uma falha deverá ser coordenada de maneira responsável com os responsáveis pelo projeto. A disponibilidade de manutenção e de correções depende da fase e dos recursos de cada repositório.

A existência desta política não significa que mecanismos de proteção previstos nos documentos institucionais já estejam implantados.