Seguridad y divulgación responsable

Si ha encontrado una vulnerabilidad en nooryva.com, queremos saberlo, y esta página le indica cómo contárnoslo y qué haremos al respecto. Los informes los lee una persona.

Cómo informar de algo

Escriba a admin@nooryva.com. Incluya lo suficiente para que podamos reproducirlo: la dirección de la página, qué hizo, qué ocurrió y cualquier otra cosa que nos haga falta. Una prueba de concepto breve vale más que el informe de un escáner.

Los mismos datos se publican en formato legible por máquina en /.well-known/security.txt, que es el archivo que las herramientas automáticas y los investigadores buscan primero.

Qué le prometemos

• Acusaremos recibo de su informe en tres días hábiles.
• Le diremos en diez días hábiles si lo hemos confirmado y qué pensamos hacer.
• Le mantendremos informado mientras lo corregimos, y le avisaremos cuando la corrección esté en producción.
• Le acreditaremos por su nombre al anunciar la corrección, si así lo desea, y guardaremos silencio sobre usted si prefiere.
• No emprenderemos acciones legales contra usted, ni pediremos a nadie que lo haga, por una investigación realizada de buena fe conforme a esta política.

Qué le pedimos

• Denos una oportunidad razonable de corregirlo antes de contárselo a nadie más. Noventa días es el plazo habitual, y normalmente seremos mucho más rápidos.
• Use solo sus propias cuentas y sus propios datos de prueba.
• No acceda, altere ni borre información de otros. Si se topa con datos personales de alguien, deténgase y cuéntenos qué encontró sin quedarse una copia.
• No degrade el servicio para los demás. Nada de denegación de servicio, pruebas de carga ni escaneos automáticos lo bastante intensos como para notarse.
• No recurra a la ingeniería social, al phishing ni a intentos físicos contra nuestro personal o nuestras oficinas.

Qué entra en el alcance

Este sitio web, su área de administración y los puntos finales que utilizan. Merece informarse cualquier cosa que permita a alguien leer o modificar datos que no debería, apoderarse de una cuenta, ejecutar código o inyectar contenido en una página.

Qué queda fuera del alcance

Estos se nos comunican a menudo y no son, por sí solos, hallazgos sobre los que vayamos a actuar:

• cabeceras de seguridad ausentes sin un exploit demostrado;
• la salida de un escáner automático sin una prueba de concepto que funcione;
• fallos que requieren que la víctima ya tenga malware, o acceso físico a su equipo desbloqueado;
• opiniones sobre la configuración del correo sin un mensaje suplantado real;
• límites de frecuencia en páginas que no hacen nada, y números de versión revelados sin un exploit correspondiente;
• cualquier cosa que solo afecte a navegadores que su fabricante ya no mantiene.

No pagamos recompensas

Somos una casa comercial, no una empresa tecnológica, y no tenemos un programa de recompensas remunerado. Lo decimos aquí en lugar de dejar que lo descubra después del trabajo. Lo que sí ofrecemos es una respuesta rápida y honesta de una persona, reconocimiento si lo quiere, y la promesa de no ir contra usted.

Cómo se protege este sitio

Para quien nos evalúe como proveedor: todo viaja por una conexión cifrada. El acceso administrativo exige contraseña y un segundo factor. Las credenciales guardadas dentro del sistema están cifradas donde residen. Cada cambio de contenido queda registrado con el administrador que lo hizo. Los formularios tienen límites de frecuencia y están protegidos frente al abuso automatizado. Las direcciones de red se guardan solo como huellas unidireccionales, nunca en claro. El sitio no carga scripts de terceros, lo que elimina toda una categoría de riesgo de cadena de suministro.

Si aun así algo sale mal

Si una brecha llegara a poner en riesgo su información, se lo comunicaremos a usted y a la autoridad competente sin demora, diremos claramente qué ocurrió y qué significa para usted, y no esperaremos a tener una fórmula cómoda. Lo que guardamos sobre usted en primer lugar figura en la política de privacidad.

Qué idioma prevalece

Esta política se publica en todos los idiomas en que se publica este sitio. Si las versiones discrepan, prevalece la versión en English.