Política de ciberseguridad
DropBG (dropbg.io) • Divulgación coordinada de vulnerabilidades
Política
Agradecemos tu interés en ayudarnos a mejorar nuestra seguridad. Por favor, sigue las reglas que se indican a continuación para mitigar cualquier riesgo de implicaciones legales.
Directrices para la divulgación coordinada de vulnerabilidades
- Evita compartir información sin autorización. Durante el proceso de divulgación coordinada, comenta la vulnerabilidad únicamente con el proveedor afectado, el propietario del sistema y nosotros.
- Concede tiempo para una solución. Espera para divulgar públicamente la vulnerabilidad hasta que las partes afectadas hayan tenido tiempo suficiente para solucionarla, o hasta que tú y todas las partes —incluido DropBG— hayáis llegado a un acuerdo de divulgación.
- Mantén las interacciones al mínimo. Una vez que hayas informado de una vulnerabilidad, no vuelvas a interactuar con el sistema afectado durante el proceso de divulgación coordinada.
- Limita tu alcance. Al demostrar una prueba de concepto (Proof of Concept), realiza únicamente las acciones mínimas necesarias. No descargues, modifiques ni elimines ningún dato más allá de lo estrictamente necesario.
- No excedas tu nivel de acceso. Evita elevar privilegios o explorar un sistema más allá del mínimo necesario para tu prueba de concepto. Utiliza únicamente tus propias cuentas para las pruebas y nunca exfiltres datos de otros usuarios.
- Utiliza métodos éticos. No utilices técnicas de fuerza bruta ni de ingeniería social para obtener acceso a un sistema.
- Evita acciones maliciosas. No realices ataques de denegación de servicio (DoS) ni instales malware o virus.
- Proporciona las direcciones IP. Siempre que sea posible, incluye las direcciones IP que utilizaste durante tu descubrimiento. Esto nos ayuda a evaluar posibles explotaciones y a reducir las alertas de falsos positivos.
- Comunica tus planes. Si tienes intención de divulgar públicamente tus hallazgos, por ejemplo en una charla o artículo, infórmanos con antelación.
Qué esperar de nuestro programa CVD
- Protección legal. Siempre que sigas nuestras directrices, actúes de buena fe y no tengas intenciones maliciosas, no te enfrentarás a acciones civiles ni penales por nuestra parte por informar de una vulnerabilidad.
- Confidencialidad y anonimato. Tu informe será tratado de forma confidencial. Puedes optar por permanecer en el anonimato y no compartiremos tus datos personales con terceros sin tu consentimiento explícito.
- Reconocimiento. Estaremos encantados de acreditarte por tu nombre o alias como el descubridor de la vulnerabilidad una vez que se haya resuelto el problema.
- Respuesta oportuna. Recibirás una confirmación de tu informe en un plazo de 3 días hábiles y evaluaremos el problema en un plazo de 5 días hábiles.
- Comunicación. Te mantendremos informado sobre el progreso de la corrección de la vulnerabilidad y, en caso de publicación de un CVE, coordinaremos la divulgación con todas las partes implicadas.
- Reconocimiento en el Muro de la Fama (Wall of Fame). Somos un proyecto independiente y no ofrecemos recompensas monetarias (bug bounties). En reconocimiento a tu contribución, incluiremos con gusto tu nombre o alias en nuestro Muro de la Fama de Seguridad público (a menos que prefieras permanecer en el anonimato).
Para informar de una vulnerabilidad, envía un correo electrónico a dropna@pm.me. Nuestro archivo de seguridad conforme al RFC 9116 está disponible en /.well-known/security.txt.
Última modificación el 29 de septiembre de 2026