Política de divulgación de vulnerabilidades

Envíe su informe a través de nuestra página de contacto con el asunto "Informe de seguridad" e incluya: el producto, el software o el servicio afectado y su versión; el entorno en el que se observó el problema; pasos claros para reproducirlo; el impacto potencial; y cualquier material de prueba de concepto necesario para confirmar el problema.

Nuestro objetivo es acusar recibo de los informes con prontitud, mantenerle informado mientras investigamos e indicarle si el informe se acepta y qué medidas correctivas se han previsto. Los plazos de corrección dependen de la gravedad y la complejidad; es posible que le solicitemos aclaraciones o más detalles sobre la reproducción.

Mientras investiga, le rogamos que no: acceda, modifique o elimine datos que no le pertenezcan; degrade o interrumpa nuestros servicios ni los de otros usuarios; utilice ingeniería social, phishing o ataques físicos contra nuestro personal o nuestras instalaciones; ni divulgue públicamente detalles del problema antes de que hayamos tenido una oportunidad razonable de publicar una corrección.

Si realiza un esfuerzo de buena fe por cumplir esta política durante su investigación, no emprenderemos ni apoyaremos acciones legales contra usted por dicha investigación, y lo dejaremos claro a cualquier tercero que lo solicite. Esta garantía no se extiende a las actividades que infrinjan la ley o los derechos de terceros.

Los informes que se basen únicamente en navegadores o sistemas operativos desactualizados, en la salida de un escáner automatizado sin impacto demostrado, en encabezados de seguridad ausentes sin un exploit práctico, o en ingeniería social contra nuestro personal, generalmente no son elegibles para su reconocimiento.