Segurança
Segurança e divulgação
Como relatar uma vulnerabilidade, quanto vale encontrar uma e o que nos comprometemos a fazer depois.
Código aberto, e encontrar uma falha é pago
O PrivaMesh se baseia em primitivas bem estudadas - X3DH, o Double Ratchet, AES-256-GCM e ML-KEM-768 no iOS 26. O código que as implementa é público para os três clientes, então qualquer pessoa pode ler exatamente o que ele faz em vez de confiar numa descrição.
Uma falha encontrada nele vale até US$ 500 pelo bug bounty.
Como relatar uma vulnerabilidade
Envie um e-mail para privamesh@proton.me com security no assunto.
- Informe a versão do app, o modelo do seu aparelho e a versão do iOS.
- Inclua detalhes suficientes para reproduzir o problema.
- Nunca inclua sua frase de recuperação. Nunca vamos pedi-la, por nenhum motivo, em nenhum contexto.
Nossos compromissos
- Confirmação de recebimento em até 2 dias úteis. Se não tiver resposta, suponha que o e-mail se perdeu e envie de novo.
- Uma correção ou um plano em até 30 dias para qualquer coisa que permita ler mensagens, se passar por uma conta ou ligar um usuário à sua atividade.
- Crédito se você quiser, silêncio se não. Não vamos citar seu nome sem perguntar.
- Nenhuma ameaça legal por pesquisa de boa-fé que não tenha como alvo contas ou dados de outras pessoas.
Recompensas
Descobertas confirmadas são pagas pelo programa de bug bounty - até US$ 500 por uma vulnerabilidade crítica, e o pagamento acontece na confirmação, não na correção. Os níveis, o escopo e os problemas conhecidos que não contam estão todos publicados lá, porque um programa que paga discretamente pelas próprias lacunas documentadas não é um programa.
Versões suportadas
Correções de segurança saem na próxima versão da App Store. O PrivaMesh roda no iOS 18 ou posterior e lançou uma única versão principal, então não há ramo mais antigo para receber backports. Quando isso mudar, o período de suporte será informado aqui em vez de ficar subentendido.
O que foi corrigido
Desde agosto de 2026 houve doze relatos externos e duas auditorias internas. As correções estão prontas, mas nenhuma está no seu celular ainda: a 1.1, a versão da App Store, foi compilada em 13 de agosto, antes de elas serem escritas, e chegam aos usuários na próxima versão. Até lá, considere que o app publicado tem os problemas que elas corrigem. O que foi documentado em vez de corrigido está em limitações conhecidas. Quem relatou o quê não é publicado.
Escopo
O cliente iOS, o protocolo on-chain e o serviço de taxas descritos na página de arquitetura estão todos no escopo. Infraestrutura de terceiros - a própria Solana, provedores de RPC, a Apple - não cabe a nós corrigir, mas queremos saber. Para os limites do que o design protege, veja o modelo de ameaças e as limitações conhecidas.
Perguntas frequentes
Como relato uma vulnerabilidade?
Envie um e-mail para privamesh@proton.me com "security" no assunto. Inclua a versão do app, seu aparelho e a versão do iOS, e detalhes suficientes para reproduzir. Procuramos confirmar o recebimento em até 2 dias úteis.
Existe bug bounty?
Sim. Até US$ 500 por uma descoberta crítica, US$ 200 alta, US$ 75 média, US$ 25 baixa, com a gravidade definida pelo que a descoberta quebra no nosso modelo de ameaças. Todos os níveis, o escopo e as exclusões estão na página do bug bounty.
Quais versões recebem correções de segurança?
As correções saem na próxima versão da App Store. O PrivaMesh lançou uma única versão principal, então ainda não há ramo mais antigo para receber backports.