01A quién se avisa
PendienteBuzón de seguridad
02Qué contar
- Qué has encontrado y en qué dirección exacta.
- Los pasos mínimos para reproducirlo.
- Qué crees que permitiría hacer a alguien con mala intención.
- Y si lo has probado, con qué navegador y a qué hora.
03Qué se compromete esta casa
- Acusar recibo del aviso.
- Decir si se acepta como vulnerabilidad y por qué.
- Mantener informado a quien avisa mientras se arregla.
- Y reconocer públicamente a quien avisó, si quiere.
04Qué se pide a cambio
- Dar un margen razonable antes de hacerlo público.
- No acceder a datos de otras personas ni degradar el servicio.
- No usar el fallo más allá de lo necesario para demostrarlo.
- Y no pedir dinero a cambio de no contarlo, que es otra cosa.
05Qué no cubre
Los informes automáticos de un escáner sin una explicación de por qué importa, la ausencia de cabeceras que no afectan a este sitio, y los fallos de servicios de terceros, que corresponden a quien los opera.
Lo que falta en este documento
- 01El buzón al que escribir, y quién lo lee.
- 02Los plazos concretos de respuesta y de arreglo, que no se publican hasta que haya alguien que pueda cumplirlos. Prometer un plazo que no se sostiene es peor que no publicarlo.
- 03Y si habrá recompensa, que hoy no la hay.
Estos documentos son un borrador de la casa. Dicen lo que el sitio hace de verdad, comprobado midiéndolo, y no sustituyen la revisión de un abogado. Nada de lo que hay aquí se ha presentado ante ningún registro ni ante ninguna autoridad.