Política de divulgación coordinada de vulnerabilidades
Cómo gestionamos los informes de vulnerabilidades y su divulgación
Objetivo
BudgetBakers agradece la notificación responsable de vulnerabilidades de seguridad en sus productos.
El objetivo de esta política es permitir que investigadores de seguridad, usuarios y otras partes informen de forma segura de posibles vulnerabilidades, y que estas puedan investigarse y corregirse antes de que se hagan públicos los detalles técnicos.
Alcance
Esta política se aplica a posibles vulnerabilidades de seguridad en productos de BudgetBakers. También cubre vulnerabilidades en componentes de terceros cuando:
- El componente está integrado en un producto de BudgetBakers, o
- Su vulnerabilidad afecta a la seguridad de un producto de BudgetBakers
No se aplica a productos independientes de terceros que no forman parte de un producto de BudgetBakers y no tienen impacto en su seguridad.
Normas para la investigación de seguridad
BudgetBakers pide a quienes informan que:
- Actúen de buena fe y con el objetivo de mejorar la seguridad
- Prueben únicamente sus propias cuentas y sus propios datos siempre que sea posible
- Minimicen el acceso a los datos de otros usuarios
- No copien ni conserven datos personales o financieros salvo que sea necesario para demostrar la vulnerabilidad
- Detengan las pruebas en esa dirección si acceden accidentalmente a los datos de otro usuario
- No interrumpan la disponibilidad del servicio
- No realicen pruebas de DoS/DDoS
- No utilicen ingeniería social contra empleados o usuarios
- No lleven a cabo ataques físicos
- No realicen pruebas destructivas
- No utilicen el acceso obtenido para ningún fin distinto de verificar la vulnerabilidad
Qué ocurre después de informar
Una vez recibido un informe, BudgetBakers:
- 1Registrará el informe
- 2Realizará una clasificación de seguridad inicial
- 3Solicitará información adicional a quien informa si es necesario
- 4Verificará la reproducibilidad y el impacto de la vulnerabilidad
- 5Determinará cómo corregirla o mitigarla
- 6Coordinará cualquier divulgación pública
- 7Informará del resultado a quien informa, cuando corresponda
Divulgación coordinada
Pedimos a quienes informan que no publiquen detalles técnicos de una vulnerabilidad antes de que haya una corrección o mitigación adecuada disponible para los usuarios, o antes de otra fecha acordada con BudgetBakers.
BudgetBakers se esforzará por coordinar la divulgación con quien informa de manera razonable y transparente.
Bug bounty
BudgetBakers no opera actualmente un programa público de bug bounty. Informar de una vulnerabilidad no da derecho por sí mismo a una recompensa económica o de otro tipo.
En casos excepcionales, BudgetBakers podrá, a su entera discreción, ofrecer una recompensa por un hallazgo de seguridad especialmente relevante o bien documentado.
Investigación responsable / safe harbour
BudgetBakers no tiene intención de emprender acciones legales únicamente por investigaciones de seguridad realizadas de buena fe y de acuerdo con esta política.
Esto no se aplica a conductas destinadas a perjudicar a la empresa, a sus usuarios o a terceros, ni a conductas que excedan claramente lo necesario para verificar la vulnerabilidad.
¿Ha encontrado una vulnerabilidad?
Infórmenos a través de nuestro punto de contacto de seguridad.