Política de divulgación de vulnerabilidades
Texto provisional, pendiente de revisión jurídica. No es la versión definitiva.
Traducción de la versión francesa, la única que da fe.
La seguridad de nuestros servicios es importante para nosotros y para nuestros clientes. Si cree que ha encontrado una vulnerabilidad, gracias por notificárnosla. Esta política explica cómo hacerlo, qué puede probar y a qué nos comprometemos.
Cómo contactar con nosotros
Escriba a security@scaliamo.com. Esta dirección figura también en el archivo /.well-known/security.txt de cada uno de nuestros sitios y de nuestra aplicación, conforme a la norma RFC 9116.
En su mensaje, indique si es posible:
- la dirección o la función afectada;
- la naturaleza de la vulnerabilidad y su posible impacto;
- los pasos para reproducirla;
- sus datos de contacto, si desea un seguimiento.
Puede escribir en francés o en inglés.
Alcance
Están cubiertos:
- los sitios de nuestros productos;
- nuestra aplicación, su API y su widget.
Solo están cubiertos los dominios que explotamos. Los servicios de nuestros proveedores (alojamiento, pago, envío de correos electrónicos) se rigen por sus propias políticas.
Fuera del alcance
- los ataques de denegación de servicio, sea cual sea su forma;
- la ingeniería social dirigida a nuestros equipos, nuestros clientes o nuestros proveedores (phishing, llamadas, mensajes);
- las pruebas físicas en nuestras instalaciones o en nuestros equipos;
- el envío masivo de mensajes a través de nuestros formularios (inscripción, lista de espera, contacto);
- los análisis automáticos masivos, mediante escáner o robot;
- los informes generados por una herramienta automática sin demostración de un impacto real.
Reglas de buena fe
Le pedimos que:
- realice pruebas únicamente con sus propias cuentas, o con cuentas cuyo titular le haya dado su consentimiento;
- nunca consulte, modifique, copie ni suprima datos que no le pertenezcan; si accede a ellos por accidente, deténgase, no conserve nada y notifíquenoslo;
- se limite a lo estrictamente necesario para demostrar la vulnerabilidad;
- no degrade el servicio para los demás usuarios;
- no divulgue la vulnerabilidad antes de su corrección, ni antes de la fecha acordada con nosotros;
- no nos pida ninguna contrapartida a cambio de su notificación.
Nuestros compromisos
Nuestros plazos:
- acuse de recibo en un plazo de 3 días hábiles;
- primera evaluación (vulnerabilidad confirmada o no, gravedad) en un plazo de 10 días hábiles;
- corrección según la gravedad, con un informe de avance al menos cada dos semanas;
- divulgación coordinada: acordamos con usted una fecha de publicación, en principio 90 días como máximo después de la notificación.
Le mantenemos informado de la corrección. Con su consentimiento, podemos citar su nombre en nuestros agradecimientos.
Sin programa de recompensas
No tenemos programa de recompensas (bug bounty). No se abona ninguna recompensa económica por una notificación.
Marco jurídico
No emprenderemos acciones judiciales contra una persona que notifique una vulnerabilidad de buena fe y que respete esta política. Si un tercero emprende una acción contra usted por investigaciones conformes a esta política, haremos saber que actuó con nuestra autorización.
Esta política no le autoriza a infringir la ley, ni a acceder a los datos de nuestros clientes.
Evolución de esta política
Podemos modificar esta política. La versión publicada en esta página es la que da fe.