Divulgación responsable

La versión corta

Si encontraste una falla de seguridad en algo que opera Serverlys, cuéntanos y la corregiremos. No te amenazaremos por buscar, siempre que te hayas mantenido dentro del alcance de abajo y no hayas usado lo que encontraste contra nadie.

No hay un programa de recompensas en efectivo. Preferimos decirlo de entrada que dejarte pasar un fin de semana en nuestra infraestructura esperando un pago que no existe. Damos crédito a los investigadores que lo piden, y eso es lo que tenemos para ofrecer por ahora.

Cómo reportar

Escribe a Support@serverlys.com con "Security" en el asunto. Lo recibe una persona, no un contestador automático.

Un reporte que podemos atender rápido incluye todo esto. Si falta algo no se rechaza, pero tardará más mientras preguntamos.

• El host, URL o endpoint afectado, con detalle suficiente para reproducirlo.
• Cuál es la falla y qué podría hacer realmente un atacante con ella.
• Pasos para reproducirlo, en orden. Ideal: una prueba de concepto o un script.
• Cualquier detalle sobre las condiciones que importan: un rol de cuenta, un navegador, una ventana de tiempo.
• Cómo te gustaría recibir el crédito, o si prefieres no recibirlo.

Envíalo en texto plano o como archivo adjunto. No lo publiques y no lo envíes como un ticket de soporte normal: un agente de soporte no es el primer lector adecuado para una vulnerabilidad sin corregir.

Qué está dentro del alcance

• serverlys.com y sus subdominios operados por nosotros.
• El área de cliente y la facturación.
• El panel de control del hosting y las API que usa este sitio.
• Los servicios ConvoAI y CallFlow tal como los operamos.

Dentro del alcance significa que te pedimos que lo revises, y el compromiso de abajo aplica a lo que encuentres ahí.

Qué está fuera del alcance

Dos de estas son exclusiones de fondo y no de trámite, por eso van primero.

• SITIOS WEB DE NUESTROS CLIENTES, incluido todo lo alojado en nuestra plataforma que no es nuestro. No podemos autorizar pruebas sobre algo que no nos pertenece, así que no lo hacemos. Probar el sitio de un cliente sin su permiso es ilegal y nada en esta página cambia eso.
• SERVICIOS DE TERCEROS que solo usamos: el proveedor de pagos, el registro, los proveedores de modelos detrás de ConvoAI. Repórtalos a sus propios programas; te ayudamos a encontrar el contacto correcto si lo pides.
• Denegación de servicio, pruebas de carga y cualquier otra cosa cuyo método sea degradar el servicio para otras personas.
• Ingeniería social contra nuestro personal, clientes o proveedores, y accesos físicos.
• Resultados de escáneres automáticos enviados sin un impacto demostrado. Un reporte de que falta un encabezado, sin una forma de explotarlo, es un hallazgo que ya tenemos.
• Fallas que requieren un dispositivo ya comprometido, un navegador con root o tener en mano un equipo con sesión iniciada.
• Falta de buenas prácticas de seguridad sin consecuencias explotables: opiniones sobre SPF o DMARC, preferencias de cifrado TLS, banners de versión.

Lo que te pedimos

• Usa solo tus cuentas de prueba y tus datos. Si una falla expone los de otra persona, detente de inmediato y dinos qué viste.
• Accede solo a lo mínimo necesario para demostrar el problema. Probar que puedes leer un registro es una prueba de concepto; descargar la tabla no lo es.
• No modifiques, elimines ni extraigas datos que no son tuyos, y no avances más dentro de nuestros sistemas una vez que hayas demostrado cómo entrar.
• No degrades el servicio para nadie más.
• Danos una oportunidad razonable de corregir el problema antes de publicarlo. Noventa días es nuestra expectativa normal, y te avisaremos si algo realmente necesita más tiempo.

Lo que haremos

• Confirmar tu reporte con una persona, no con una respuesta automática.
• Decirte si pudimos reproducirlo y, si no, exactamente dónde nos atoramos.
• Darte nuestra evaluación de la gravedad y una idea realista del plazo de corrección, incluso cuando ese plazo sea más largo de lo que quisieras, y por qué.
• Avisarte cuando esté corregido y darte crédito si lo pediste.

No minimizaremos la gravedad para evitar actuar, y no dejaremos de responderte. Si un reporte pasa más de dos semanas sin una actualización concreta de nuestra parte, insiste y considera el silencio como una falla nuestra, no tuya.

Nuestro compromiso contigo

Si hiciste un esfuerzo de buena fe por seguir esta política y te mantuviste dentro del alcance indicado, Serverlys no iniciará ni apoyará acciones civiles o penales en tu contra relacionadas con tu investigación, ni pedirá a tu empleador o a tu proveedor de hosting que actúen en tu contra.

Consideraremos tu actividad como autorizada para efectos de cualquier ley de uso indebido de computadoras que dependa de la autorización, y lo diremos por escrito si un tercero nos pregunta.

Este compromiso es nuestro y termina donde termina nuestra propiedad. No puede protegerte respecto al sitio de un cliente, un servicio de terceros o cualquier cosa de la lista fuera del alcance; ningún compromiso nuestro puede hacerlo, porque no nos corresponde autorizarlo.

Si no estás seguro de si algo está dentro del alcance, pregunta antes de probar. Preferimos mil veces responder esa pregunta que tener una conversación al respecto después.