Política de divulgación de vulnerabilidades (VDP)

1 Introducción

En Scatter Instruments, la seguridad de nuestros sistemas y la protección de los datos de clientes son una prioridad absoluta. Valoramos el papel de los investigadores de seguridad independientes que nos ayudan a mantener un alto nivel de seguridad.

Nos comprometemos a colaborar con la comunidad de seguridad para resolver las vulnerabilidades verificadas de forma rápida y responsable.

2 Puerto seguro

Scatter Instruments no emprenderá acciones legales contra quienes descubran y notifiquen vulnerabilidades de seguridad conforme a esta política. Consideramos autorizada la investigación de seguridad realizada bajo esta política.

Para acogerse a esta protección, debe:

• Cumplir todas las normas y directrices de esta política
• No comprometer la privacidad ni la seguridad de nuestros clientes y sus datos
• No interrumpir ni degradar nuestros servicios de ningún modo
• Actuar de buena fe para evitar violaciones de la privacidad, destrucción de datos e interrupciones de nuestros servicios

3 Alcance

Esta política se aplica a los siguientes sitios web y servicios públicos propiedad de Scatter Instruments:

Sistemas incluidos

• scatterinstrumentsonline.com
• www.scatterinstrumentsonline.com
• Cualquier otro subdominio de scatterinstrumentsonline.com

Sistemas y acciones excluidos

Cualquier servicio no incluido expresamente queda fuera del alcance. Están estrictamente prohibidas las siguientes acciones:

• Pruebas en servicios de terceros (procesadores de pago, proveedores de analítica, widgets de redes sociales)
• Ataques físicos contra nuestras instalaciones o equipos
• Ingeniería social (phishing, vishing) contra nuestros empleados, contratistas o clientes
• Ataques de denegación de servicio (DoS o DDoS)
• Publicar spam o usar herramientas automáticas para rastrear agresivamente nuestro sitio
• Acceder, modificar o extraer datos que no le pertenecen

4 Cómo notificar una vulnerabilidad

Si cree haber encontrado una vulnerabilidad de seguridad, envíe su informe por correo a contact@scatterinstruments.com.

Para información sensible, le recomendamos cifrar su informe con nuestra clave PGP, disponible en nuestro archivo security.txt.

Un buen informe debe incluir:

• Un título claro y descriptivo
• El tipo de vulnerabilidad y su posible impacto
• La URL completa o el recurso donde se descubrió la vulnerabilidad
• Instrucciones detalladas, paso a paso, para reproducir el problema
• Cualquier código de prueba de concepto, capturas o grabaciones de pantalla

5 Nuestro compromiso

Cuando notifique una vulnerabilidad conforme a esta política, nos comprometemos a:

• Acusar recibo de su informe en 2–3 días hábiles
• Facilitarle una persona de contacto y mantenerle informado de nuestros avances
• Investigar y validar su informe
• Corregir las vulnerabilidades verificadas lo antes posible
• No divulgar públicamente los detalles de la vulnerabilidad hasta que exista una corrección

6 Recompensas y reconocimiento

Aunque Scatter Instruments no ofrece actualmente recompensas económicas (bug bounty), agradecemos profundamente las contribuciones de la comunidad.

Para los informes verificados y válidos, ofrecemos, con su permiso, un reconocimiento público en nuestro Salón de la fama de investigadores de seguridad.