Security

.github/SECURITY.md

Política de Segurança — EVO-API

Reporte de vulnerabilidades

Não abra issue pública para vulnerabilidades.

Use GitHub Security Advisories (preferência).
Ou envie email para: contato@progesta.com.br (assunto: [SECURITY] EVO-API ...).

Inclua:

Descrição da vulnerabilidade.
Passos para reproduzir.
Impacto estimado.
Versões/branches afetadas.

Compromisso de resposta

Confirmação de recebimento: até 72h.
Triagem inicial: até 7 dias.
Correção: prazo conforme severidade (Critical: 7d, High: 30d, Medium: 90d).

Escopo

Código deste repositório.
Pipelines em .github/workflows/.
Configuração de segurança documentada em docs/architecture/cross-cutting/security.md.

Fora de escopo

Vulnerabilidades em dependências de terceiros (reportar upstream — abrimos PR de atualização via Dependabot).
Engenharia social, físico.

Hall of fame

Reconhecemos quem reporta de forma responsável. Postmortems ficam em docs/audits/postmortems/.

There aren't any published security advisories