Segurança | Soffio

Esta tradução é fornecida por conveniência. Se ela diferir da versão em inglês, prevalece a versão em inglês.

Última atualização: 2026-10-31

Levamos a segurança do Soffio a sério. Se você encontrou uma vulnerabilidade, conte para nós em particular primeiro, para que possamos corrigi-la antes que outras pessoas possam explorá-la.

Relatar uma vulnerabilidade

Escreva para [email protected]. O mesmo contato está em getsoffio.app/.well-known/security.txt.

Inclua, por favor:

o que você encontrou e o que um invasor poderia fazer com isso,
a versão do Soffio (Ajustes > Sobre) e a sua versão do macOS,
os passos para reproduzir e uma prova de conceito, se tiver.

Escreva em inglês ou em italiano. Não relate problemas de segurança em lugares públicos, como redes sociais ou fóruns.

O que acontece depois

Etapa	Nossa meta
Confirmamos que recebemos o seu relatório	em até 3 dias úteis
Dizemos se confirmamos o problema e qual a gravidade que lhe damos	em até 10 dias úteis
Publicamos uma correção: crítica	em até 14 dias
Publicamos uma correção: alta	em até 30 dias
Publicamos uma correção: média	em até 90 dias
Publicamos uma correção: baixa	em uma versão regular posterior

Avaliamos a gravidade com o CVSS e pelo modo como o problema afeta usuários reais. Mantemos você informado enquanto trabalhamos nisso e avisamos quando a versão corrigida sair. São metas, não promessas; somos uma empresa de uma pessoa só e avisaremos se precisarmos de mais tempo.

Divulgação coordenada

Dê-nos 90 dias a partir do seu relatório, ou até que haja uma correção, se for antes, antes de publicar os detalhes. Se precisarmos de mais tempo, pediremos e explicaremos por quê.
Se o problema estiver sendo explorado ativamente, podemos publicar um aviso antes, junto com você.
Quando a correção sair, publicamos um aviso curto em getsoffio.app/security e o mencionamos nas notas de versão. Daremos crédito a você pelo nome ou pelo apelido, se quiser; diga-nos como.
Podemos pedir um identificador CVE para problemas graves.

No momento não há programa de recompensas (bug bounty) pago.

Porto seguro (safe harbour)

Se você agir de boa-fé e seguir esta política, não tomaremos medidas legais contra você por causa da sua pesquisa, nem pediremos a ninguém que o faça. Boa-fé significa que:

você testa só no seu próprio Mac, com as suas próprias contas e os seus próprios dados,
você não acessa, altera nem apaga dados de outras pessoas,
você não ataca o nosso site, a Polar, o Groq ou outros serviços de modo que os prejudique ou prejudique seus usuários (nada de negação de serviço, spam ou engenharia social),
você nos dá um tempo razoável para corrigir o problema antes de publicá-lo.

No escopo

O app Soffio, sua ferramenta de linha de comando soffio e seu servidor MCP.
O feed de atualizações e as assinaturas das atualizações.
O tratamento de licenças dentro do app.
O site getsoffio.app.

Fora do escopo

Serviços que não operamos: Groq, Polar, Hugging Face, Ollama, yt-dlp, GitHub, nosso provedor de hospedagem. Relate-os aos seus donos. Ainda queremos saber se o Soffio os usa de forma insegura.
Problemas que exijam que um invasor já controle a sua conta de usuário do Mac com os mesmos direitos que você, ou que tenha acesso físico a um Mac desbloqueado, a menos que o Soffio piore claramente as coisas.
Contornar a licença ou o teste no seu próprio Mac. Isso é questão de licenciamento, não uma vulnerabilidade de segurança. Você ainda pode nos contar.
Relatórios de scanners automáticos sem prova de que o problema é real.
Cabeçalhos de boas práticas ausentes no site sem impacto real.

Período de suporte

Versão	Primeiro lançamento	Correções de segurança pelo menos até
1.x	2026-10-31	2028-10-31

Cada versão principal do Soffio recebe correções de segurança por pelo menos 2 anos após o seu primeiro lançamento, e por pelo menos 1 ano depois que a próxima versão principal sair, o que for mais tarde.
As correções saem na versão secundária mais recente daquela versão principal (por exemplo, 1.4.2). As atualizações dentro de uma versão principal são grátis. Mantenha o Soffio atualizado; a verificação automática de atualizações é o jeito mais fácil.
Anunciamos o fim do suporte de uma versão principal com pelo menos 6 meses de antecedência, em getsoffio.app/security e nas notas de versão do app.
O Soffio é compatível com as versões do macOS listadas na página de download. Quando deixarmos de dar suporte a uma versão antiga do macOS, a última versão do Soffio para ela será indicada nas notas de versão.

Como as correções chegam até você

As atualizações são entregues pelo atualizador integrado do app (Sparkle). Cada atualização é assinada com a nossa própria chave, e o app verifica a assinatura antes de instalar. O app em si é assinado com um Apple Developer ID e notarizado pela Apple. As notas de versão dizem quando uma atualização contém uma correção de segurança.

Lista de materiais de software (SBOM)

O Soffio usa um pequeno número de componentes de código aberto. Os nomes, versões e licenças deles estão no arquivo THIRD_PARTY_NOTICES dentro do app e em Ajustes > Sobre > Agradecimentos. Uma lista de materiais de software (SBOM) legível por máquina de cada versão está disponível sob pedido em [email protected].

Contato

[email protected]. Roberto Cinetto, North Vancouver, Colúmbia Britânica, Canadá.

O mesmo contato está em security.txt.