Política de Divulgação Responsável
Última atualização: 24/09/2026 · Responsável: Central Fox Tecnologia LTDA, CNPJ 66.678.057/0001-52, Rua Lineu Juca, nº 182, Vila União, Fortaleza/CE, CEP 60.420-090.
A segurança dos documentos fiscais e dos dados dos nossos clientes é prioridade da Central Fox. Se você encontrou uma vulnerabilidade no FOX NF-e, queremos saber — e queremos que você possa nos contar sem medo, desde que siga as regras abaixo.
1. Como reportar
Envie um e-mail para [email protected] com:
- descrição da vulnerabilidade e do impacto possível;
- sistema afetado (URL, endpoint, versão do SDK) e data/hora dos testes;
- passos para reproduzir, prova de conceito mínima e, se houver, capturas de tela;
- o endereço IP ou a conta de teste que você usou;
- como prefere ser identificado no reconhecimento (ou se prefere anonimato).
Não inclua no relato dados pessoais, documentos fiscais, tokens ou senhas de terceiros. Se você os encontrou por acidente, diga apenas que teve acesso e a que tipo de dado — não os anexe.
O mesmo endereço recebe denúncias de cópia, revenda, vazamento de código ou uso indevido do FOX NF-e.
2. Escopo
| Dentro do escopo | Fora do escopo |
|---|---|
Site https://www.foxnfe.com.br |
Serviços de terceiros que usamos (provedores de nuvem, CDN, meios de pagamento, e-mail) — reporte ao próprio fornecedor |
Portal https://foxnfe.centralfox.online |
Sistemas das SEFAZ, do Ambiente Nacional, das prefeituras e de seus provedores |
API https://www.foxnfe.com.br/api/v1 e servidor MCP |
Engenharia social, phishing, ataques físicos, contra funcionários ou contra clientes |
Documentação https://docs.foxnfe.com.br |
Negação de serviço (DoS/DDoS), testes de carga e varreduras em alto volume |
| SDKs FOX NF-e, versão 1.3.3 ou posterior | Relatos apenas de ferramenta automática, sem impacto demonstrado |
| Ausência de boas práticas sem impacto explorável (ex.: cabeçalho ausente isolado) |
3. O que é permitido
- Testar somente com contas próprias, inclusive a avaliação gratuita, e somente no ambiente de Homologação.
- Acessar o mínimo necessário para demonstrar a falha e parar assim que ela estiver demonstrada.
- Usar CNPJs e dados fictícios ou seus próprios.
- Guardar a vulnerabilidade em sigilo até que a corrijamos ou até combinarmos a divulgação (item 6).
4. O que NÃO fazer
- Não transmitir documento fiscal em Produção nem enviar qualquer documento a um Autorizador (SEFAZ, prefeitura, Ambiente Nacional) fora da Homologação.
- Não acessar, copiar, alterar, reter ou apagar dados de outros clientes ou de terceiros; se isso acontecer por acidente, pare, não guarde nada e nos avise.
- Não degradar o serviço, não fazer DoS, não usar automação agressiva.
- Não usar a falha para obter vantagem, extrair código, regras de cálculo, modelos ou prompts, nem para contornar limites de plano.
- Não pedir pagamento como condição para revelar a falha.
- Não divulgar publicamente a falha antes do prazo do item 6.
- Não violar lei, nem esta Política, nem o contrato de licença de que você seja parte.
5. Nossos compromissos e prazos
| Etapa | Prazo |
|---|---|
| Confirmação de recebimento | até 3 (três) dias úteis |
| Primeira avaliação (validade e gravidade) | até 10 (dez) dias úteis |
| Atualizações sobre a correção | a cada 15 (quinze) dias corridos, até o encerramento |
| Correção | conforme a gravidade — prazo informado na primeira avaliação |
Trataremos seu relato com sigilo e não revelaremos sua identidade sem seu consentimento, salvo obrigação legal.
6. Divulgação coordenada
Pedimos que você não publique detalhes da vulnerabilidade antes de 90 (noventa) dias do relato ou antes da correção, o que ocorrer primeiro, salvo acordo diferente por escrito. Combinaremos com você o conteúdo e a data da divulgação.
7. Porto seguro (safe harbor)
Se você agir de boa-fé e dentro do escopo e das regras desta Política:
- consideraremos sua pesquisa autorizada pela Central Fox para fins dos nossos termos de uso e do nosso contrato de licença (inclusive a proibição de testes de intrusão), e não aplicaremos multa contratual por ela;
- a Central Fox não proporá ação civil contra você, nem oferecerá queixa-crime ou representação em razão dessa pesquisa;
- se um terceiro iniciar medida contra você por atividade conforme esta Política, poderemos declarar, a seu pedido, que a atividade foi autorizada por nós.
Limites deste compromisso: ele vale apenas para a Central Fox e para os direitos que ela pode renunciar. Não vincula o Ministério Público, a polícia, outras autoridades, nossos fornecedores nem outros titulares de dados ou de sistemas. Não cobre acesso a dados de outros clientes além do acidental e imediatamente comunicado, transmissão de documentos fiscais em Produção, negação de serviço, extorsão, divulgação antecipada, nem qualquer conduta fora das regras dos itens 3 e 4. Em caso de dúvida sobre se um teste está no escopo, pergunte antes por [email protected].
8. Reconhecimento
Não há programa de recompensa em dinheiro nesta data. Com sua autorização, publicaremos seu nome ou apelido na lista de agradecimentos em https://www.foxnfe.com.br/seguranca depois da correção.
9. Contato
- Vulnerabilidades e denúncias: [email protected]
- Arquivo de contato de segurança:
https://www.foxnfe.com.br/.well-known/security.txt - Idiomas: português (preferencial) e inglês.