Política de divulgación de vulnerabilidades

Esta política es de HIDENENTERPRISES S.L. para su servicio Duravigil. Explica cómo reportarnos un fallo de seguridad, qué hacemos con el reporte, en qué plazos y qué protección tienes si investigas de buena fe. La revisamos al menos una vez al año.

1. Alcance

Entran en esta política los sistemas que gestionamos nosotros:

• La web www.duravigil.com y los demás subdominios de duravigil.com que operamos, entre ellos la plataforma de clientes app.duravigil.com.
• Los dominios duravigil.es, duravigil.cat, duravigil.eu, duravigil.net y durabigil.com.
• La plataforma de vigilancia de Duravigil y sus servicios asociados, incluida la prueba de seguridad automática.

Quedan fuera:

• Los productos de los fabricantes con los que trabajamos. Repórtalos al fabricante según su propia política. No confirmamos quiénes son nuestros clientes.
• Los servicios de terceros que usamos, como Cloudflare o Microsoft 365. Repórtalos a cada proveedor por su programa.

2. Cómo reportar

Escribe a psirt@duravigil.com (también llega a security@duravigil.com). Puedes hacerlo en castellano o en inglés. Para que podamos tramitarlo bien, incluye:

• Qué sistema o dirección está afectado.
• Qué has encontrado y qué impacto crees que tiene.
• Los pasos para reproducirlo y, si lo tienes, una prueba de concepto.
• Cuándo lo encontraste.
• Cómo contactarte para preguntas: un correo o un teléfono.

Te recomendamos enviar la información confidencial cifrada y firmada. Estamos preparando nuestra clave OpenPGP; cuando esté publicada la enlazaremos aquí y en el security.txt, con su huella. Mientras tanto, si el detalle es delicado, escríbenos primero sin él y acordamos cómo enviarlo.

Reportes anónimos

Puedes escribirnos desde una dirección que no te identifique. Ten en cuenta que, si no podemos hacerte preguntas, solo podremos tramitar el reporte en parte, o no podremos tramitarlo. Si el problema es complejo, es probable que necesitemos más explicaciones o documentación.

3. Plazos de respuesta

• Acuse de recibo en 5 días laborables desde tu reporte o desde cada actualización que nos mandes. Lo escribe una persona, no es una respuesta automática.
• Respuesta detallada en 10 días laborables, con una de estas tres cosas: si confirmamos o descartamos la vulnerabilidad, las preguntas que necesitamos para entenderla, o por qué la investigación va a tardar más, con el compromiso de darte otra actualización en 10 días laborables como máximo.

Contamos los días laborables según el calendario de Cervera (Lleida). Estos plazos no se aplican a los reportes anónimos, porque no tenemos a quién contestar. Puedes preguntarnos por el estado de tu reporte cuando quieras.

4. Nuestros compromisos contigo

• Tratamos cada reporte de forma confidencial en la medida en que la ley lo permite. Solo se publica lo necesario para divulgar la vulnerabilidad una vez corregida.
• No damos tus datos personales a terceros sin tu permiso expreso.
• Te contestamos dentro de los plazos de esta política y seguimos disponibles durante todo el proceso.
• No te pedimos que firmes ningún acuerdo de confidencialidad.
• Si quieres, te damos las gracias públicamente con tu nombre o alias cuando el caso esté cerrado.

Protección si actúas de buena fe

Si investigas de buena fe y sigues esta política, no emprenderemos acciones legales contra ti ni te denunciaremos por esa investigación, y consideraremos que la has hecho con nuestra autorización. Si un tercero emprende acciones contra ti por algo que hiciste dentro de esta política, dejaremos claro que actuaste según ella. Esto no se aplica si hay una intención delictiva reconocible.

5. Qué consideramos una vulnerabilidad

Tramitamos como vulnerabilidad un fallo que:

• afecta a alguno de los sistemas del alcance;
• no es público todavía;
• viene explicado, y no es solo la salida de una herramienta automática sin más documentación.

Si nos reportas algo que ya hemos corregido, lo leemos y lo comprobamos igualmente. Hallazgos como cabeceras o ajustes recomendados sin un impacto demostrable los recibimos con gusto, aunque normalmente no siguen todo el proceso.

6. Qué te pedimos

• No uses el fallo más allá de lo necesario para demostrarlo ni causes ningún daño.
• No accedas, cambies ni borres datos que no sean tuyos. Si llegas a datos personales de otras personas, para, avísanos y no los guardes.
• No hagas ataques de denegación de servicio, envíos masivos, fuerza bruta, ingeniería social ni pruebas físicas.
• No pongas en riesgo ni modifiques sistemas o datos de terceros.
• No ofrezcas a nadie herramientas para explotar el fallo.
• No publiques el fallo antes de que esté corregido o de que acordemos una fecha contigo.

Pedimos a todas las partes que se traten con respeto. No aceptamos insultos ni discriminación de ningún tipo. Si un reporte no cumple estas pautas, lo tramitaremos igualmente en la medida de lo posible, pero no daremos las gracias públicamente a quien lo envió.

7. Coordinación y divulgación

Acordamos contigo la fecha de publicación. Publicamos las vulnerabilidades confirmadas en un plazo máximo de 90 días desde que las validamos. Si hay un motivo justificado para tardar más en corregirla, ese plazo puede ampliarse una vez otros 90 días, hablándolo contigo y con INCIBE-CERT, el CSIRT coordinador en España.

Si la vulnerabilidad se está explotando activamente, lo comunicaremos a INCIBE-CERT sin demora indebida y le iremos contando cómo avanza la corrección.

8. Cuándo se cierra un caso

Damos un caso por cerrado cuando ocurre una de estas cosas:

• la vulnerabilidad está corregida y se ha publicado;
• vemos que el reporte no tiene fundamento, y te explicamos por qué;
• no contestas a nuestras preguntas técnicas durante al menos 30 días y no podemos seguir sin tu ayuda.

Te avisamos del cierre, salvo que el reporte fuera anónimo.

9. Recompensas

Ahora mismo no tenemos un programa de recompensas económicas. Sí damos las gracias públicamente, con tu permiso, a quien nos reporte una vulnerabilidad válida.

10. Contacto e idiomas

• Correo: psirt@duravigil.com
• Idiomas: castellano e inglés
• Fichero de contacto según el RFC 9116: /.well-known/security.txt