Divulgación responsable

• Proporciona unos pasos claros, completos y reproducibles para reproducir el problema.

• Envía una vulnerabilidad por informe, salvo que sea necesario encadenarlas para demostrar el impacto.

• Los informes duplicados se clasifican en función del primer envío válido recibido.

• Las vulnerabilidades múltiples causadas por un único problema de fondo se tratarán como un único informe.

• Queda prohibida la ingeniería social (por ejemplo, phishing, vishing, smishing).

• Actúa de buena fe: evita las violaciones de la privacidad, la destrucción de datos o la interrupción del servicio. Realiza las pruebas únicamente con cuentas de las que seas titular o para las que tengas permiso explícito de uso.

A la hora de informar sobre vulnerabilidades, ten en cuenta tanto la posibilidad de explotación como el impacto en la seguridad. Los siguientes problemas quedan fuera del ámbito de aplicación:

• Clickjacking en páginas sin acciones sensibles.

• Falsificación de solicitudes entre sitios (CSRF) en formularios sin autenticación o en formularios que no realizan operaciones confidenciales.

• Ataques que requieren situarse en una posición de «hombre en el medio» (MITM) o tener acceso físico al dispositivo de un usuario.

• Informes sobre bibliotecas con vulnerabilidades conocidas que carecen de una prueba de concepto funcional.

• Inyección de valores separados por comas (CSV) sin que se haya demostrado que sea explotable.

• Faltan configuraciones recomendadas para SSL/TLS.

• Cualquier actividad que pueda afectar a la disponibilidad del servicio (incluidos los casos de denegación de servicio).

• Falsificación de contenido o inyección de texto sin un vector de ataque viable ni la capacidad de modificar HTML/CSS.

• Preocupaciones relacionadas con la limitación de velocidad o los ataques de fuerza bruta en puntos finales sin autenticación.

• Faltan las prácticas recomendadas sobre la política de seguridad de contenidos (CSP).

• Faltan los indicadores «HttpOnly» o «Secure» en las cookies.

• Problemas relacionados con las prácticas recomendadas en la configuración del correo electrónico (por ejemplo, registros SPF, DKIM o DMARC incompletos o ausentes)

• Problemas que solo afectan a los navegadores obsoletos o sin parches (con más de dos versiones estables de retraso).

• Información sobre la versión del software, identificación mediante banners o mensajes de error descriptivos o encabezados (por ejemplo, trazas de pila, errores de aplicación o del servidor).

• Tabnabbing.

• Redirecciones abiertas sin que se haya demostrado que tengan un impacto adicional en la seguridad.

• Problemas que requieren una interacción por parte del usuario poco probable o muy poco práctica.