Política de divulgació de vulnerabilitats

Aquesta política és de HIDENENTERPRISES S.L. per al seu servei Duravigil. Explica com ens pots comunicar una fallada de seguretat, què fem amb la comunicació, en quins terminis i quina protecció tens si investigues de bona fe. La revisem almenys una vegada l'any.

1. Abast

Entren en aquesta política els sistemes que gestionem nosaltres:

• El web www.duravigil.com i els altres subdominis de duravigil.com que operem, entre els quals la plataforma de clients app.duravigil.com.
• Els dominis duravigil.es, duravigil.cat, duravigil.eu, duravigil.net i durabigil.com.
• La plataforma de vigilància de Duravigil i els seus serveis associats, inclosa la prova de seguretat automàtica.

En queden fora:

• Els productes dels fabricants amb qui treballem. Comunica-ho al fabricant segons la seva pròpia política. No confirmem qui són els nostres clients.
• Els serveis de tercers que fem servir, com Cloudflare o Microsoft 365. Comunica-ho a cada proveïdor pel seu programa.

2. Com comunicar-nos una fallada

Escriu a psirt@duravigil.com (també arriba a security@duravigil.com). Ho pots fer en castellà o en anglès. Perquè ho puguem tramitar bé, inclou-hi:

• Quin sistema o quina adreça està afectat.
• Què has trobat i quin impacte creus que té.
• Els passos per reproduir-ho i, si en tens, una prova de concepte.
• Quan ho vas trobar.
• Com et podem contactar si tenim preguntes: un correu o un telèfon.

Et recomanem que enviïs la informació confidencial xifrada i signada. Estem preparant la nostra clau OpenPGP; quan estigui publicada l'enllaçarem aquí i al security.txt, amb la seva empremta. Mentrestant, si el detall és delicat, escriu-nos primer sense incloure'l i acordem com enviar-lo.

Comunicacions anònimes

Ens pots escriure des d'una adreça que no t'identifiqui. Tingues en compte que, si no et podem fer preguntes, només podrem tramitar la comunicació en part, o no la podrem tramitar. Si el problema és complex, és probable que necessitem més explicacions o documentació.

3. Terminis de resposta

• Justificant de recepció en 5 dies feiners des de la teva comunicació o des de cada actualització que ens enviïs. L'escriu una persona, no és una resposta automàtica.
• Resposta detallada en 10 dies feiners, amb una d'aquestes tres coses: si confirmem o descartem la vulnerabilitat, les preguntes que necessitem per entendre-la, o per què la investigació trigarà més, amb el compromís de donar-te una altra actualització en 10 dies feiners com a màxim.

Comptem els dies feiners segons el calendari de Cervera (Lleida). Aquests terminis no s'apliquen a les comunicacions anònimes, perquè no tenim a qui respondre. Ens pots preguntar per l'estat de la teva comunicació quan vulguis.

4. Els nostres compromisos

• Tractem cada comunicació de manera confidencial en la mesura que la llei ho permet. Només es publica el que cal per divulgar la vulnerabilitat un cop corregida.
• No donem les teves dades personals a tercers sense el teu permís exprés.
• Et responem dins dels terminis d'aquesta política i seguim disponibles durant tot el procés.
• No et demanem que signis cap acord de confidencialitat.
• Si vols, et donem les gràcies públicament amb el teu nom o àlies quan el cas estigui tancat.

Protecció si actues de bona fe

Si investigues de bona fe i segueixes aquesta política, no emprendrem accions legals contra tu ni et denunciarem per aquesta investigació, i considerarem que l'has feta amb la nostra autorització. Si un tercer emprèn accions contra tu per alguna cosa que vas fer dins d'aquesta política, deixarem clar que vas actuar d'acord amb ella. Això no s'aplica si hi ha una intenció delictiva reconeixible.

5. Què considerem una vulnerabilitat

Tramitem com a vulnerabilitat una fallada que:

• afecta algun dels sistemes de l'abast;
• encara no és pública;
• ve explicada, i no és només la sortida d'una eina automàtica sense més documentació.

Si ens comuniques una cosa que ja hem corregit, la llegim i la comprovem igualment. Troballes com capçaleres o ajustos recomanats sense un impacte demostrable les rebem de bon grat, encara que normalment no segueixen tot el procés.

6. Què et demanem

• No facis servir la fallada més enllà del que calgui per demostrar-la ni causis cap dany.
• No accedeixis a dades que no siguin teves, ni les canviïs ni les esborris. Si arribes a dades personals d'altres persones, atura't, avisa'ns i no les guardis.
• No facis atacs de denegació de servei, enviaments massius, força bruta, enginyeria social ni proves físiques.
• No posis en risc ni modifiquis sistemes o dades de tercers.
• No ofereixis a ningú eines per explotar la fallada.
• No publiquis la fallada abans que estigui corregida o que acordem una data amb tu.

Demanem a totes les parts que es tractin amb respecte. No acceptem insults ni discriminació de cap mena. Si una comunicació no compleix aquestes pautes, la tramitarem igualment en la mesura del possible, però no donarem les gràcies públicament a qui l'hagi enviada.

7. Coordinació i divulgació

Acordem amb tu la data de publicació. Publiquem les vulnerabilitats confirmades en un termini màxim de 90 dies des que les validem. Si hi ha un motiu justificat per trigar més a corregir-la, aquest termini es pot ampliar una vegada 90 dies més, parlant-ho amb tu i amb l'INCIBE-CERT, el CSIRT coordinador a Espanya.

Si la vulnerabilitat s'està explotant activament, ho comunicarem a l'INCIBE-CERT sense demora indeguda i li anirem explicant com avança la correcció.

8. Quan es tanca un cas

Donem un cas per tancat quan passa una d'aquestes coses:

• la vulnerabilitat està corregida i s'ha publicat;
• veiem que la comunicació no té fonament, i t'expliquem per què;
• no respons a les nostres preguntes tècniques durant almenys 30 dies i no podem continuar sense la teva ajuda.

T'avisem del tancament, tret que la comunicació fos anònima.

9. Recompenses

Ara mateix no tenim cap programa de recompenses econòmiques. Sí que donem les gràcies públicament, amb el teu permís, a qui ens comuniqui una vulnerabilitat vàlida.

10. Contacte i llengües

• Correu: psirt@duravigil.com
• Llengües: castellà i anglès
• Fitxer de contacte segons l'RFC 9116: /.well-known/security.txt