Segurança

Como relatar

Escreva para security@gateday.com, em português ou inglês. Conte o que encontrou, onde (o endereço ou a parte do app), os passos para repetir e o que alguém conseguiria fazer com a falha. Não mande dados pessoais de outras pessoas: se precisar mostrar que chegou a um dado, mostre o mínimo, como um identificador.

O que relatar

Falhas em gateday.com e em todas as suas páginas, incluindo a API em /api/v1, e no app da portaria. Por exemplo:

• ver ou mudar dados de outra organização ou de outra pessoa;
• um ingresso falso, copiado ou já usado que entra na portaria;
• entrar numa conta sem o código do e-mail ou do aplicativo autenticador;
• fazer o site ou a API executar código que não é nosso.

Fora do escopo: ataques que derrubam o serviço ou testes de carga, engenharia social, phishing, acesso físico, spam e resultados de ferramentas automáticas sem um impacto demonstrado. Falhas em serviços de outras empresas que usamos vão para essas empresas.

Regras para testar de boa-fé

• Use só contas e eventos seus.
• Não veja, mude nem apague dados de outras pessoas além do mínimo para provar a falha, e pare assim que provar.
• Não atrapalhe o serviço: nada de testes de carga ou varreduras em volume.
• Não divulgue a falha antes de ela ser corrigida e de combinarmos a data com você.

Depois do seu relato

• Lemos cada relato e respondemos por e-mail, contando o que decidimos fazer.
• Avisamos você quando a falha estiver corrigida.

Ainda não temos programa de recompensas.

In English

GateDay is run by GateDay LLC, whose registration in the state of Florida, United States, is in progress.

Report vulnerabilities to security@gateday.com, in English or Portuguese, with what you found, where, the steps to reproduce it and its impact. Never send other people’s personal data: show the least that proves the point.

In scope: gateday.com and everything under it, including the API at /api/v1, and the door app. Out of scope: denial of service and load testing, social engineering, phishing, physical access, spam, and scanner output without a demonstrated impact.

Use only your own accounts and events, access no one else’s data beyond the minimum needed, don’t degrade the service, and don’t disclose the issue until it’s fixed and we’ve agreed on a date with you. We read every report, reply by e-mail with what we decided, and let you know when it’s fixed. We don’t run a bug bounty yet. In force since October 26, 2026.