Esta página es una traducción de cortesía. Si difiere de la versión en inglés, prevalece la versión en inglés. Leer la versión en inglés
Divulgación responsable
¿Encontró un problema de seguridad? Avísenos antes de que alguien más lo descubra por las malas.
Tomamos en serio los reportes de investigadores externos y preferimos saber de usted directamente a encontrar un artículo publicado después. Esta página explica qué está dentro del alcance, cómo reportar y qué puede esperar de nuestra parte.
Alcance
Qué cubre esta política.
Dentro del alcance
- myshieldid.com y sus páginas para EE. UU. en myshieldid.com/us, los dominios de redirección shieldid.ca y myshieldid.ca, y sus subdominios, incluidos el sitio de marketing, el flujo de verificación y el portal de cuentas
- La API pública de ShieldID
- Autenticación, manejo de sesiones y control de acceso en cualquier sistema operado por ShieldID
Fuera del alcance
- Productos y sitios que no operamos, aunque usen ShieldID (RentKey, Crown Ledger y Trust Ledger tienen sus propios contactos de seguridad)
- Servicios de terceros con los que nos integramos, a menos que el problema esté en la forma en que los usamos
Cómo reportar
Escríbanos por correo electrónico. No abra primero un issue público ni publique nada.
Send a report to [email protected] with as much detail as you can, and give us a reasonable window to respond before disclosing publicly.
Por favor, incluya:
- El tipo de problema y la URL, endpoint o sistema afectado
- Pasos para reproducirlo, o una prueba de concepto
- A qué pudo acceder o qué logró, y cómo lo confirmó
- Las herramientas o scripts utilizados, para que podamos reproducir exactamente sus pasos
Lo que prometemos
Un acuse de recibo, una revisión real y ningún problema legal por investigaciones de buena fe.
Acuse de recibo
Nuestra meta es acusar recibo de un reporte válido dentro de los tres días hábiles posteriores a su recepción. Es una meta que declaramos públicamente, no un promedio medido.
Una investigación genuina
Cada reporte es revisado por alguien que puede actuar al respecto, no filtrado por un formulario que no lleva a ninguna parte.
Sin acciones legales por investigación de buena fe
Si usted encuentra y reporta una vulnerabilidad de buena fe, dentro del alcance de esta política y sin acceder, modificar ni exfiltrar datos más allá de lo necesario para demostrar el problema, no emprenderemos acciones legales en su contra por esa investigación.
Hoy no hay recompensas por errores (bug bounty)
Actualmente no tenemos un programa pagado de recompensas por errores (bug bounty). No prometeremos una recompensa que no podemos garantizar, pero sí prometemos leer y actuar sobre lo que nos envíe.
Fuera del alcance
Le pedimos que no haga ninguna de las siguientes cosas como parte de un reporte.
- Aplicar ingeniería social a nuestro personal, contratistas o clientes
- Intentos físicos de acceder a nuestras oficinas o infraestructura
- Pruebas de denegación de servicio, o cualquier acción que degrade el servicio para solicitantes reales
- Escaneo automatizado a un volumen que pueda afectar a otros usuarios, sin consultarnos antes
- Acceder, modificar o eliminar datos de otra persona más allá de lo necesario para demostrar un problema
- Spam, phishing o cualquier intento de poner a prueba el criterio de nuestro personal en lugar del sistema
Puerto seguro
La investigación realizada de buena fe y dentro de esta política es bienvenida.
Consideramos que la investigación de seguridad realizada conforme a esta política está autorizada, y no iniciaremos acciones legales por ella. Este es un lenguaje general de puerto seguro, no sustituye el asesoramiento legal específico para su situación; si no está seguro de si algo está dentro del alcance, consúltenos antes de probarlo.
Preguntas
Respuestas directas sobre cómo reportar una vulnerabilidad.
¿Listo para reportar?
Email [email protected] with what you found.
Incluya los pasos para reproducirlo y a qué pudo acceder. Nosotros nos encargamos desde ahí.