VigicapSeguridad
Notificar una vulnerabilidad
Vigicap custodia las carencias de seguridad de los clientes de sus usuarios. Una vulnerabilidad aquí nunca es, por tanto, un problema meramente interno, y preferimos enterarnos por un investigador antes que por un atacante. Esta página explica cómo notificárnosla y a qué nos comprometemos a cambio.
Cómo contactarnos
Envíe un mensaje a la dirección siguiente, en español, francés o inglés. Describa la vulnerabilidad, los pasos para reproducirla y el impacto que estima. Si desea cifrar su mensaje, pídanos una clave en un primer correo sin detalles técnicos.
Es una dirección de rol, leída en días laborables. También está publicada en nuestro archivo security.txt, en el formato del RFC 9116.
Alcance
Dentro del alcance
- El sitio vigicap.fr y sus subdominios.
- La consola de la agencia y el espacio del cliente, incluidas sus API.
- La infraestructura que gestionamos directamente, y la configuración de nuestras cabeceras, nuestras cookies y nuestra autenticación.
Fuera del alcance
- Los servicios de nuestros subencargados (Scaleway, Brevo, Stripe), que cuentan con sus propios programas de notificación.
- Los sistemas de los clientes de nuestros usuarios, a los que no podemos autorizarle el acceso.
- Los informes procedentes de un escáner automático sin impacto demostrado, y los errores de configuración sin consecuencia explotable.
Lo que le pedimos
Estas reglas existen para proteger los datos de terceros, no para entorpecerle. Al respetarlas, queda amparado por la protección descrita más abajo.
- No extraiga, conserve ni divulgue datos que no sean suyos. Si se topa con ellos, deténgase y avísenos.
- No realice ataques de denegación de servicio, pruebas de carga ni modificación o borrado de datos.
- Nada de ingeniería social, phishing ni intentos de acceso físico dirigidos a nuestro personal o a nuestros proveedores.
- Utilice una cuenta de prueba que cree usted mismo, en lugar de la cuenta de un tercero.
- Concédanos un plazo razonable para corregir antes de publicar, y acordemos juntos la fecha.
Nuestros compromisos
- Si respeta las reglas anteriores, Vigicap no emprenderá acciones judiciales ni medidas disciplinarias contra usted, y considerará su investigación como autorizada.
- Acusamos recibo en un plazo de 2 días laborables.
- En un plazo de 10 días laborables le damos una primera calificación — admisible o no, y nuestra estimación de la gravedad.
- Le mantenemos informado hasta la corrección y le confirmamos después la fecha de puesta en producción.
- Con su consentimiento, le mencionamos por su nombre. No ofrecemos recompensa económica, y preferimos escribirlo a dejarlo a su suposición.
security.txt
Los datos de contacto de esta página también están publicados en la ubicación normalizada por el RFC 9116, que la mayoría de las herramientas de investigación consultan automáticamente.