1. Como protegemos sua conta
- HTTPS em todo lugar. O more.you, o app, o servidor MCP e as páginas publicadas são servidos por HTTPS. Os domínios próprios recebem um certificado automaticamente.
- Login com o Google. Você entra com sua conta do Google, então o More.You nunca vê sua senha do Google. Qualquer senha guardada de um cadastro anterior é mantida apenas como hash bcrypt.
- Sessões seguras. Os cookies de login são seguros e somente HTTP, então scripts de uma página não conseguem lê-los.
- Conexões de IA sob o seu controle. O Controle por IA conecta um assistente por OAuth. Você aprova cada conexão e pode removê-la.
- Nenhum segredo no código. Chaves e senhas ficam no AWS Systems Manager Parameter Store.
- Proteção contra abuso. Limites de tentativas no login e no cadastro, e uma verificação de que toda requisição que altera dados vem do nosso próprio site.
- Pagamentos pelo Stripe. Os dados do cartão vão direto para o Stripe. Nós nunca vemos nem guardamos números de cartão.
A Política de Privacidade explica quais dados guardamos e com quem os compartilhamos.
2. Relatar uma vulnerabilidade
Envie um e-mail para security@more.you e inclua:
- uma descrição do problema e do que um atacante poderia fazer com ele;
- os passos para reproduzi-lo, com qualquer código de prova de conceito ou capturas de tela;
- onde ele está, por exemplo more.you, app.more.you ou mcp.more.you;
- seu nome ou @, se quiser receber o crédito.
Por favor, não publique uma vulnerabilidade em uma issue pública, em uma avaliação ou em um post de rede social.
3. Escopo
Dentro do escopo
- more.you e os subdomínios que operamos, incluindo app.more.you e api-app.more.you.
- Páginas publicadas em more.you/<name> e em domínios próprios conectados.
- O servidor MCP do More.You em mcp.more.you/api e o login por OAuth dele.
Fora do escopo
- Problemas em serviços que usamos, como Amazon Web Services, Google, Microsoft, Stripe, OpenAI, Cloudflare e as redes sociais. Relate esses casos à empresa que os opera.
- Problemas em assistentes de IA que se conectam ao nosso servidor MCP, como ChatGPT, Claude e Gemini.
- Ataques que exigem acesso físico ao dispositivo da vítima, engenharia social contra nossa equipe ou negação de serviço por volume de tráfego.
- Problemas que já são públicos.
- Relatos que não conseguem demonstrar dano real.
4. Regras para testes
- Teste apenas na sua própria conta e nas suas próprias páginas.
- Não leia, altere nem apague dados de outras pessoas. Se chegar a eles por acidente, pare e conte para nós o que viu.
- Não execute varreduras automáticas que deixem o Serviço lento para outras pessoas.
- Não tente receber pagamento de uma página que não é sua e não use cartões que você não tem permissão para usar.
5. Porto seguro
Se você agir de boa-fé para seguir esta política durante a sua pesquisa, consideramos a pesquisa autorizada. Vamos trabalhar com você para entender e corrigir o problema rapidamente e não iniciaremos nem apoiaremos ação judicial por isso.
6. Divulgação coordenada
Dê-nos um prazo razoável para investigar e corrigir o problema antes de torná-lo público. Depois de corrigido, teremos prazer em citar você em qualquer aviso público.
7. security.txt
Publicamos /.well-known/security.txt conforme a RFC 9116, com o mesmo endereço de contato e um link para esta página.
8. Mantenha sua conta segura
- Ative a verificação em duas etapas na conta do Google com a qual você entra.
- Remova as conexões de assistentes de IA e do Stripe que você não usa mais.
- Nunca pedimos sua senha por e-mail. Se algum e-mail pedir, encaminhe para security@more.you.
