Como avisar
Escreva para pivotlabdev@gmail.com com o assunto “Segurança”. Ajuda muito mandar:
- o que você encontrou e qual o impacto;
- o endereço ou a rota da API afetada;
- os passos para reproduzir, com prints ou o pedido HTTP usado;
- um contato para conversarmos.
Também mantemos o arquivo /.well-known/security.txt com este mesmo contato.
O que pedimos
- Não acesse, altere nem apague dados de outras pessoas além do mínimo para mostrar o problema.
- Não faça testes de negação de serviço, envio em massa ou engenharia social.
- Não divulgue a falha antes de termos tempo razoável para corrigir.
O que fazemos
Confirmamos o recebimento, investigamos, corrigimos e avisamos você quando estiver resolvido. Quem pesquisa de boa-fé e segue estas regras não sofre medida legal da PivotLab por isso.
Onde vale
O painel em wpp.pivotlab.com.br, as rotas da API em /api e a API pública v1. Falhas na Meta, na API oficial do WhatsApp ou no app WhatsApp devem ser avisadas à Meta, pelo programa de recompensas dela.
Como o Recado Hub protege os dados
- Tokens de acesso da Meta cifrados com AES-256-GCM.
- Senhas e chaves de API guardadas só como resumo criptográfico (hash); a chave aparece uma vez só.
- HTTPS em todo o tráfego e sessão em cookie httpOnly.
- Eventos da Meta conferidos pela assinatura X-Hub-Signature-256.
- Webhooks para os sistemas do cliente assinados com HMAC-SHA256 (cabeçalho X-Recado-Assinatura).
- Dados de cada empresa separados.
- O Recado Hub nunca pede a senha do Facebook e nunca repassa o token da Meta ou o segredo do app para outros sistemas: eles usam a chave de API do Recado Hub.
- Desconectar e excluir dados fica no próprio painel, como explicado em exclusão de dados.