Segurança

Como funciona o acesso, o que é e o que não é um ID, e como comunicar uma vulnerabilidade.

​

Como funciona o acesso

Três condições têm de se verificar todas antes de o seu PMS ver uma propriedade:

1. Credencial PMS. A chave é válida, está atualizada e pertence ao ambiente que está a chamar.
2. Âmbito. A chave tem o âmbito que a rota precisa: properties:read para listar e ler propriedades.
3. Ligação. O anfitrião da propriedade ligou essa propriedade ao seu PMS. Um âmbito nunca concede uma propriedade sozinho.

Se falhar a primeira, recebe 401; se falhar a segunda, 403; se falhar a terceira, 404. Uma propriedade que não pode ver responde exatamente como uma que não existe.

​

O ID de uma propriedade não é uma credencial

O id de uma propriedade é um identificador. Sabê-lo não concede nada: só as três condições acima o fazem. Pode guardar IDs e escrevê-los nos logs à vontade, mas trate a credencial PMS como segredo (veja Autenticação).

​

Minimização de dados

A API partilha apenas o que um PMS precisa para mapear uma propriedade. Veja Titularidade dos dados para o que nunca é partilhado.

​

Comunicar uma vulnerabilidade

Se encontrar um problema de segurança na API PMS Tatallo ou neste site, envie email para [e-mail] com Security no assunto. Não divulgue publicamente e não aceda a dados que não sejam seus durante a investigação. Inclua o que encontrou, como reproduzir e quaisquer IDs de pedido. A Tatallo confirma receção e mantém-no informado até estar corrigido.

Se acredita que uma das suas chaves foi exposta, diga-o na primeira linha: a Tatallo revoga-a de imediato e emite uma nova.