Loading
Loading
Seguridad
Un canal directo para investigadores de seguridad que encuentren una vulnerabilidad en cualquier superficie de cantarell.energy o activo de una subsidiaria.
Reportar una vulnerabilidad
Escribe a security@cantarell.energy con los detalles indicados abajo. Si el tema es sensible, solicita nuestra llave PGP en tu primer mensaje y te responderemos con una.
Qué incluir
Pasos de reproducción claros avanzan las cosas más rápido. Mientras más podamos verificar al primer leer, más rápido triageamos y arreglamos.
01
La URL específica, endpoint de API o activo de subsidiaria donde se reproduce el problema.
02
Una lista numerada de los pasos exactos para disparar el problema. Capturas o video corto ayudan.
03
Qué podría hacer un atacante: acceso a datos, escalada de privilegios, toma de cuenta, interrupción de servicio.
04
Qué navegador, SO o plataforma reproduce. Si reproduce en producción o staging.
05
Cómo quieres que te contactemos. Nombre preferido para atribución si el arreglo se divulga públicamente.
Nuestros compromisos
01 · Acuso
Una persona real acusa el reporte en tres días hábiles y te dice quién es responsable del triage.
02 · Triage
Clasificamos severidad con rúbricas estándar y compartimos una ETA de remediación apropiada a la clase.
03 · Divulgación
Coordinamos la divulgación pública con el reportante. Si el arreglo es material, acreditamos a los investigadores que deseen crédito.
04 · Sin abogados
No emprenderemos acción legal contra investigadores que actúen de buena fe dentro del alcance abajo.
Puerto seguro
Si haces un esfuerzo de buena fe por cumplir esta política durante tu investigación, consideraremos tu investigación autorizada, trabajaremos contigo para entender y resolver el problema rápido, y no recomendaremos ni emprenderemos acción legal relacionada con tu investigación.
Si un tercero inicia acción legal contra ti por actividades conducidas conforme a esta política, tomaremos pasos para hacer saber que tus acciones se condujeron en cumplimiento de nuestra política.
Actuar de buena fe significa: no dañas intencionalmente a Cantarell, sus subsidiarias, sus usuarios ni a terceros; no extraes datos más allá de lo necesario para probar la vulnerabilidad; no divulgas públicamente el problema antes de una resolución coordinada.
Alcance
En alcance
Fuera de alcance