Política de divulgación de vulnerabilidades

Socialinsider - un producto de Code Path SRL

Socialinsider se compromete a garantizar la seguridad de sus usuarios protegiendo su información. Esta política ofrece a los investigadores de seguridad directrices para llevar a cabo actividades de detección de vulnerabilidades e instrucciones sobre cómo enviarnos vulnerabilidades.

Esta política describe qué sistemas y tipos de investigación contempla, cómo enviarnos informes de vulnerabilidades y cuánto tiempo pedimos a los investigadores de seguridad que esperen antes de divulgar públicamente las vulnerabilidades. Te animamos a ponerte en contacto con nosotros para informar de posibles vulnerabilidades en nuestros sistemas.

Si haces un esfuerzo de buena fe por cumplir esta política durante tu investigación de seguridad, consideraremos que tu investigación está autorizada y trabajaremos contigo para comprender y resolver el problema rápidamente. Socialinsider no recomendará ni emprenderá acciones legales relacionadas con tu investigación. Si un tercero inicia acciones legales contra ti por actividades realizadas de acuerdo con esta política, haremos pública esta autorización.

Directrices

En virtud de esta política, «investigación» significa las actividades que realizas como investigador de seguridad:

  • Notifícanos lo antes posible después de descubrir cualquier problema de seguridad.
  • Haz todo lo posible por evitar vulneraciones de la privacidad, el deterioro de la experiencia del usuario, las interrupciones de los sistemas de producción y la destrucción o manipulación de datos.
  • Utiliza exploits únicamente en la medida necesaria para confirmar la existencia de una vulnerabilidad. No utilices un exploit para poner en riesgo o extraer datos, establecer un acceso persistente a la línea de comandos ni utilizar el exploit para acceder a otros sistemas.
  • Concédenos un plazo razonable para resolver el problema antes de divulgarlo públicamente.
  • No envíes un gran volumen de informes de baja calidad.

Para ayudarnos a comprender los informes, te recomendamos que tu envío:

  • Describa dónde se descubrió la vulnerabilidad y el posible impacto de su explotación.
  • Proporcione una descripción detallada de los pasos necesarios para reproducir la vulnerabilidad; las capturas de pantalla o las grabaciones de vídeo son útiles.
  • Esté redactado en inglés

Una vez que hayas establecido que existe una vulnerabilidad o encuentres datos sensibles (incluida información de identificación personal, información financiera o información privada o secretos comerciales de cualquier parte), debes detener la prueba, notificárnoslo de inmediato y no divulgar estos datos a nadie más.

Prácticas prohibidas

No se autorizan los siguientes métodos de prueba:

  • Pruebas de denegación de servicio (DoS o DDoS) u otras pruebas que perjudiquen el acceso a los sistemas
  • Pruebas de vulnerabilidades no técnicas

Esta política se aplica a los siguientes sistemas y servicios:

  • https://www.socialinsider.io
  • https://app.socialinsider.io

Cualquier servicio no incluido expresamente arriba, como los servicios conectados, queda fuera del alcance y no está autorizado para realizar pruebas.
Además, las vulnerabilidades encontradas en sistemas de nuestros proveedores quedan fuera del alcance de esta política y deben comunicarse directamente al proveedor de acuerdo con su política de divulgación, si la tiene.
Si no tienes claro si un sistema está dentro del alcance o no, contáctanos en security@socialinsider.io antes de comenzar tu investigación

Si hay algún sistema concreto que esté fuera del alcance y consideras que merece ser probado, contáctanos para hablarlo primero. El alcance de esta política puede ampliarse con el tiempo.

Informar sobre una vulnerabilidad

La información enviada en virtud de esta política se utilizará únicamente con fines defensivos: para mitigar o corregir vulnerabilidades.

Si tus hallazgos incluyen vulnerabilidades recién descubiertas que afectan a todos los usuarios de un producto o servicio, y no solo a Socialinsider, podremos compartir tu informe con terceros, que lo gestionarán conforme a su proceso coordinado de divulgación de vulnerabilidades.

No compartiremos tus datos de contacto sin tu permiso expreso.
Aceptamos informes de vulnerabilidades a través de security@socialinsider.io. Los informes pueden enviarse de forma anónima.

Cuando decidas compartir tus datos de contacto con nosotros, nos comprometemos a coordinarnos contigo de la forma más abierta y rápida posible.

  • En un plazo de 7 días laborables, confirmaremos que hemos recibido tu informe.
  • Te confirmaremos la existencia de la vulnerabilidad y seremos lo más transparentes posible sobre las medidas que estamos tomando durante el proceso de corrección
  • Mantendremos una conversación sobre los problemas.