Encontrou uma falha de segurança na API Aivo Suite, neste repositório ou em qualquer produto da Aivo?
Não abra uma issue pública e não divulgue os detalhes enquanto não houver correção. Escreva para seguranca@aivosuite.com — ou, se você já tem contato comercial na Aivo, avise-o em paralelo para acelerar o encaminhamento.
Ajuda muito incluir:
- o que acontece e por que é um problema;
- o passo a passo para reproduzir (endpoint, método, corpo — sem incluir tokens ou dados pessoais reais);
- data e hora aproximadas dos testes, para localizarmos nos registros;
- seu contato para retorno.
Comprometemo-nos a confirmar o recebimento e a manter você informado sobre o andamento. Pesquisa feita de boa-fé, sem degradar o serviço e sem acessar dados de terceiros, é bem-vinda.
Vale para a API pública (*.aivosuite.com/api/v1, /api/public/*), este
repositório e os exemplos que ele contém.
Fora de escopo: ataques de negação de serviço, engenharia social, spam/força bruta contra contas reais, e relatórios automáticos de scanner sem demonstração de impacto.
Se o problema é uma credencial exposta — sua ou de terceiro que você encontrou:
- Revogue imediatamente em Contas → Conta → Tokens de API.
- Crie um substituto e atualize a integração.
- Avise-nos pelo canal acima, para verificarmos o uso do token no período.
Revogar é imediato e reversível (basta emitir outro). Esperar para ter certeza, não é.
Todo exemplo aqui lê credenciais de variáveis de ambiente, e .env está no
.gitignore. Se você encontrar algo que pareça uma credencial real neste
repositório, trate como incidente e avise pelo canal acima.