Divulgación de vulnerabilidades

Política de divulgación de vulnerabilidades

Nos tomamos en serio la seguridad de nuestro sitio web público y nuestros sistemas. Si ha encontrado un problema de seguridad, gracias por informar de manera responsable.

Alcance

Esta política cubre el sitio web público cryptorecovers.com y su infraestructura directamente relacionada. La investigación es bienvenida dentro de los límites siguientes. Todo lo que quede fuera de este alcance – incluidos los sistemas de nuestros clientes, socios o proveedores de alojamiento – no está cubierto por esta política.

Investigación permitida

Puede probar el sitio web público en busca de vulnerabilidades con técnicas razonables y no destructivas: comprobar errores de configuración comunes, probar el manejo de entradas y revisar archivos públicos. No puede acceder, intentar acceder ni alterar sistemas, cuentas, bases de datos, materiales de cartera o datos personales que no sean sus propios datos de prueba.

Cómo informar

Envíe su informe a security@cryptorecovers.com. Si puede, cífrelo con nuestra clave pública PGP (consulte la página PGP); la huella se publica allí. No publique la vulnerabilidad públicamente antes de que hayamos tenido una oportunidad razonable de responder y corregirla.

Qué incluir en su informe

Una descripción clara del problema y dónde ocurre; los pasos para reproducirlo, con el detalle suficiente para que podamos verificarlo; el impacto potencial que identificó; sus datos de contacto (opcionales pero útiles); y la confirmación de que solo usó sus propios datos de prueba.

Nuestros compromisos

Acusaremos recibo de su informe en un plazo de cinco días hábiles, le mantendremos informado del progreso y trabajaremos con usted para verificar y corregir el problema. No emprenderemos acciones legales contra investigadores que informen de buena fe y sigan esta política.

Pruebas prohibidas

No se permiten: ataques de denegación de servicio, ingeniería social, intentos de acceso físico, explotación de vulnerabilidades más allá de lo necesario para confirmarlas, acceso a sistemas de terceros, ni pruebas que afecten a materiales de cartera, datos personales o cuentas de clientes. Permanezca dentro del alcance y use solo sus propios datos de prueba.