Seguridad
Notificar una vulnerabilidad de seguridad
Si ha encontrado un punto débil en euphile.eu o en alguno de los productos de la plataforma, díganoslo. Leemos todos los informes, respondemos a todas las personas que nos escriben y le reconocemos públicamente el mérito cuando se corrige el problema.
Su informe
Los campos marcados con * son obligatorios. Escriba en inglés si puede. También leemos informes en todas las lenguas de la UE.
Las normas
Qué puede probar
- euphile.eu y todos los servicios bajo euphile.eu: las aplicaciones, las consolas de administración y las API.
- Los diez productos de la plataforma, incluidas sus aplicaciones de escritorio y complementos, en su última versión publicada.
- Cualquier otro sistema que operemos y que contenga datos de clientes.
Qué queda fuera del alcance
- Los servicios que gestionan terceros y que nosotros solo utilizamos. Notifique esos problemas al propietario de cada servicio.
- La denegación de servicio, las pruebas de carga y cualquier prueba que ralentice o interrumpa el servicio para los demás.
- La ingeniería social, el phishing y los ataques físicos contra nuestro personal, nuestros clientes o nuestras oficinas.
- Los resultados de escáneres automáticos sin un impacto demostrado y explotable.
- La ausencia de cabeceras de seguridad, de atributos de cookies o de registros de autenticación del correo electrónico, salvo que demuestre un ataque concreto.
- El self-XSS, el clickjacking en páginas sin acciones sensibles y la divulgación de versiones de software.
- Los prompts que hacen que un modelo de IA diga algo no deseado, salvo que crucen una frontera de seguridad: los datos de otro cliente, un secreto o una acción que el usuario no tiene permitido realizar.
Cómo hacer las pruebas
- Utilice solo cuentas de su propiedad, o cuentas cuyo propietario le haya dado permiso por escrito.
- Si accede a datos que no son suyos, deténgase. No los copie, no los conserve ni los comparta, e indíquelo en su informe.
- Haga solo lo necesario para demostrar el problema: sin cambios ni eliminaciones, sin persistencia y sin desplazarse a otros sistemas.
- Mantenga el tráfico automatizado por debajo de 5 peticiones por segundo.
- No comparta los detalles con nadie hasta que hayamos publicado una corrección o hasta que pasen 90 días desde su informe, lo que ocurra primero. Podemos acordar juntos otra fecha.
- No pida un pago a cambio de no divulgar la información. Eso es extorsión, no investigación.
Nuestros compromisos
- Confirmamos la recepción en un plazo de 2 días hábiles.
- Enviamos una primera evaluación, con nuestra valoración de la gravedad, en un plazo de 5 días hábiles.
- Le informamos de la evolución al menos una vez al mes hasta que se resuelva el problema.
- Le avisamos cuando se publica la corrección y acordamos con usted cuándo se publica el aviso.
- Con su consentimiento, mencionamos su nombre en el aviso y en los agradecimientos.
Puerto seguro
- Si actúa de buena fe y sigue estas normas, consideramos que su investigación está autorizada. No emprenderemos acciones legales contra usted por ella, ni apoyaremos a nadie que lo haga.
- Si un tercero emprende acciones contra usted por una investigación que siguió estas normas, haremos saber que su investigación estaba autorizada.
- Esto se aplica a los sistemas que poseemos y operamos. No podemos autorizar pruebas en sistemas que pertenecen a terceros.
Recompensas
- Con su consentimiento, todo informe válido se reconoce públicamente.
- Por un hallazgo original de gravedad alta o crítica, podemos ofrecer una recompensa económica. Decidimos si la ofrecemos, y su importe, en función del impacto y de la calidad del informe. La recompensa no está garantizada.
- Cuando varias personas notifican el mismo problema, cuenta el primer informe completo.
- No podemos pagar una recompensa cuando la ley lo prohíbe, ni a nadie que haya incumplido estas normas.