Política de divulgación de vulnerabilidades

1. Ámbito

Esta política se aplica a los sitios web públicos, aplicaciones alojadas y API operados por Sytance Technologies Limited que enlacen a esta página, incluido el Servicio de Sytance.

Los entornos de clientes, los sistemas gestionados por clientes, los servicios e integraciones de terceros, los proyectos de código abierto que no mantenemos y la infraestructura que no poseemos ni controlamos quedan fuera del ámbito. Un componente de terceros utilizado por Sytance solo está incluido en la medida en que su informe se refiera a su efecto en un servicio operado por Sytance.

Si no está claro quién es el propietario o cuál es el ámbito, contacte con security@sytance.com y espere a recibir confirmación antes de continuar.

2. Investigación autorizada y de buena fe

Esta política solo autoriza la investigación de seguridad si se realiza de buena fe, se mantiene dentro del ámbito, respeta las reglas siguientes y se limita a lo razonablemente necesario para confirmar e informar de una presunta vulnerabilidad.

• Utilice únicamente cuentas y datos de su propiedad o cuyo uso tenga autorizado.
• Realice únicamente las pruebas mínimas necesarias para confirmar el problema y mantenga un volumen de solicitudes lo bastante bajo para no afectar al Servicio ni a otros usuarios.
• Deténgase de inmediato si encuentra datos, credenciales o información confidencial de otra persona.
• No conserve, altere, elimine, divulgue ni descargue datos de forma masiva.
• No establezca persistencia, despliegue malware ni utilice una vulnerabilidad para ningún fin distinto de su validación e información.
• Informe del problema sin demora, mantenga la información confidencial y dénos una oportunidad razonable para investigarlo y solucionarlo.

3. Pruebas prohibidas

• Pruebas de denegación de servicio, carga, estrés o agotamiento de recursos.
• Ingeniería social, phishing, reutilización de credenciales (credential stuffing) o ataques de pulverización de contraseñas.
• Ataques físicos o pruebas de instalaciones e infraestructura de terceros.
• Actividades destructivas, corrupción de datos, creación masiva de cuentas o análisis automatizados de gran volumen.
• Pruebas que infrinjan la ley o los derechos de otra persona.
• Amenazas, extorsión o exigencias de pago.

4. Qué debe incluir el informe

Un informe conciso con pasos para reproducir el problema nos ayuda a evaluarlo de forma segura y responder con mayor rapidez. Si dispone de ellos, incluya:

• El dominio, la URL, la ruta de API, la función o el componente afectado.
• Una descripción clara de la vulnerabilidad y de su posible impacto.
• Pasos para reproducir el problema utilizando una cuenta de prueba y datos saneados.
• Una prueba de concepto mínima, la solicitud y la respuesta, una captura de pantalla o un extracto del registro.
• Los requisitos previos y las medidas de seguridad adoptadas.
• Sus datos de contacto preferidos.

5. Plazos de respuesta previstos

Nuestro objetivo es confirmar la recepción de un informe suficientemente completo en un plazo de tres días hábiles y facilitar las conclusiones iniciales de la evaluación en un plazo de diez días hábiles. Mientras un problema confirmado siga bajo investigación activa, procuraremos comunicar avances sustanciales al menos cada diez días hábiles, si la persona informante ha facilitado datos de contacto válidos.

Se entiende por día hábil cualquier día de lunes a viernes, excepto los festivos de Hong Kong. Estos son objetivos de comunicación, no plazos garantizados de corrección. Un informe incompleto, un gran volumen de comunicaciones, una complejidad técnica inusual o la dependencia de un tercero pueden ampliar los plazos; en tal caso, cuando sea posible, comunicaremos una nueva previsión.

6. Cómo gestionamos un informe

• Recepción y seguimiento: registramos el informe, comprobamos que el activo afectado esté dentro del ámbito y establecemos un canal de contacto con la persona informante.
• Clasificación y reproducción: evaluamos la información facilitada, intentamos reproducir el comportamiento, eliminamos duplicados y solicitamos aclaraciones cuando sea necesario.
• Evaluación y priorización del riesgo: si validamos el problema, evaluamos su gravedad y explotabilidad, los datos y usuarios afectados, la exposición, los controles compensatorios y las pruebas de explotación activa.
• Corrección y verificación: el equipo responsable desarrolla una mitigación o corrección, la prueba, gestiona las dependencias pertinentes de versiones o de terceros y verifica el resultado.
• Cierre y divulgación: comunicamos a la persona informante el resultado que podamos compartir, coordinamos cualquier divulgación pública y valoramos si procede publicar un aviso de seguridad o un reconocimiento.

7. Protección de la investigación de buena fe

Si hace un esfuerzo de buena fe por cumplir esta política, consideraremos que su investigación está autorizada en la medida en que podamos conceder legalmente dicha autorización y no iniciaremos acciones legales únicamente por una conducta accidental y de buena fe que se mantenga dentro de su ámbito.

Si un tercero inicia acciones legales por una actividad que haya cumplido esta política, podemos confirmar que se realizó en el marco de nuestro proceso de divulgación de vulnerabilidades. No podemos autorizar actividades en nombre de otra organización ni garantizar la respuesta de un tercero o de una autoridad pública.

Esta protección no autoriza conductas ilícitas, temerarias, maliciosas o extorsivas, no supone la renuncia a los derechos de otras personas ni protege conductas que continúen después de que le pidamos que se detenga.

8. Divulgación coordinada y reconocimiento

Mientras investigamos, mantenga en confidencialidad la presunta vulnerabilidad, la prueba de concepto, la información sobre los clientes afectados y los detalles de la corrección. Normalmente procuramos coordinar la divulgación dentro de los 90 días naturales siguientes a la confirmación de recepción de un informe suficientemente completo. Antes de publicar información, contacte con nosotros para acordar el alcance técnico y una fecha que permita a los usuarios protegerse.

La fecha adecuada para divulgar la información puede adelantarse o retrasarse según la gravedad, la explotación activa, el riesgo para los clientes, la disponibilidad de una versión y los terceros afectados. No solicitaremos una prórroga simplemente para evitar el escrutinio; si se necesita más tiempo, explicaremos el motivo en la medida en que pueda comunicarse de forma segura.

Podemos publicar un aviso cuando la divulgación ayude a los usuarios a protegerse. Antes de identificar a la persona informante, hablaremos con ella sobre cómo atribuirle el descubrimiento.

Esta política no es un programa de recompensas por errores ni genera derecho a pagos, recompensas, empleo u otra compensación.