Programa de notificación de vulnerabilidades
Programa de divulgación de vulnerabilidades
En Pandectes nos tomamos muy en serio la seguridad y la privacidad de nuestros usuarios, nuestros socios y los datos. Nos comprometemos a mantener un entorno seguro y agradecemos los informes de investigadores de seguridad y de la comunidad en general que nos ayuden a lograrlo.
Si cree que ha descubierto una vulnerabilidad de seguridad en nuestros sistemas, servicios o aplicaciones, le animamos a notificarla de forma responsable.
Cómo notificar una vulnerabilidad
Envíe su informe a:
Incluya la siguiente información en su informe:
- Una descripción detallada de la vulnerabilidad
- Los pasos para reproducir el problema (si procede)
- Las URL, capturas de pantalla o fragmentos de código pertinentes
- Su nombre o alias (opcional) para el reconocimiento
Qué esperamos de usted
- No explote la vulnerabilidad ni acceda a más datos de los necesarios para demostrar el problema.
- Evite acciones que puedan afectar negativamente a la integridad o la disponibilidad de nuestros servicios (por ejemplo, DoS o escaneos masivos).
- Concédanos un plazo razonable para investigar y resolver el problema antes de divulgarlo públicamente.
- Actúe de buena fe durante todo el proceso de divulgación.
Qué puede esperar de nosotros
- Confirmaremos la recepción de su informe con prontitud.
- Investigaremos el problema y trabajaremos para resolverlo lo antes posible.
- Si lo solicita y procede, reconoceremos públicamente su contribución.
- No emprenderemos acciones legales contra los investigadores que sigan de buena fe esta política de divulgación responsable.
Plazos de confirmación y corrección
Confirmación:
- Nos comprometemos a confirmar la recepción de todos los informes de vulnerabilidades en un plazo de 48 horas.
Corrección:
- Vulnerabilidades críticas: nuestro objetivo es corregirlas en un plazo de 30 días desde su verificación.
- Vulnerabilidades de gravedad alta: procuramos resolverlas en un plazo de 45 días, mediante un proceso acelerado.
- Vulnerabilidades de gravedad media y baja: se abordarán dentro de nuestro ciclo habitual de versiones.
Fuera del alcance
Aunque valoramos todos los comentarios sobre seguridad, lo siguiente suele quedar fuera del alcance de este programa:
- Spam o ataques de ingeniería social
- Cuestiones de limitación de velocidad o de fuerza bruta sin un riesgo claro de explotación
- Ausencia de cabeceras de seguridad que no tenga un impacto directo
- Problemas en plataformas o servicios de terceros que no están bajo el control de Pandectes
Nuestro compromiso con la seguridad
La seguridad es una responsabilidad compartida. Le agradecemos su ayuda para proteger Pandectes y a nuestros usuarios.