Investigación de buena fe nunca se enfrenta a abogados.

La investigación de seguridad hace que el producto sea más seguro y queremos que el informe nos llegue antes que a un atacante. Si sigue esta política, nosotros: reconoceremos su informe rápidamente, trabajaremos con usted para comprenderlo y validarlo, le mantendremos informado mientras lo corregimos, le daremos crédito si desea ser reconocido y no emprenderemos ni apoyaremos acciones legales contra usted por la investigación. Ese último compromiso es el objetivo de este documento y la cláusula 07 lo establece en términos claros.

Envíe un correo electrónico a security@transglot.ai. Incluya lo que encontró, dónde lo encontró, los pasos para reproducirlo, lo que un atacante podría hacer con ello y cualquier elemento que nos ayude a confirmarlo: una solicitud y respuesta, un video breve, una prueba de concepto. Indíquenos si desea ser reconocido y bajo qué nombre. Escriba en inglés si puede. Si desea cifrar el informe, solicítelo en un primer mensaje e intercambiaremos una clave. También publicamos un archivo security.txt con la misma dirección, para que un escáner automatizado apunte a un buzón que lee una persona.

Reconocemos un informe dentro de los tres días hábiles. Emitimos una evaluación inicial, incluida la posibilidad de reproducirlo y cómo lo hemos calificado, dentro de los diez días hábiles. Le informamos cuando se lanza una corrección y, normalmente, habremos lanzado una para un problema alto o crítico dentro de los noventa días posteriores a su validación, más rápido si el riesgo está activo. Si una corrección va a tardar más, le explicamos por qué en lugar de guardar silencio. Le avisaremos antes de publicar cualquier información sobre el problema y no publicaremos su nombre sin preguntar.

Por favor, denos noventa días desde su primer informe antes de publicar detalles, y más tiempo por acuerdo si la corrección es genuinamente compleja o si requiere que un cliente actúe. No utilizaremos ese período para ocultar el problema: le mantendremos actualizado y, si no podemos corregirlo, también se lo diremos, y no nos opondremos a la publicación una vez transcurrido el período. Si un problema está siendo explotado activamente, infórmenos de inmediato y actuaremos a esa velocidad. Estamos dispuestos a coordinar un aviso conjunto y a solicitar un CVE cuando sea apropiado.

La aplicación web de producción y el sitio de marketing en nuestros propios dominios, la API REST pública, el punto final de entrega, el editor contextual y sus superficies de incrustación, nuestros paquetes de cliente publicados, la entrega y firma de webhooks, nuestros flujos de autenticación e inicio de sesión único (SSO) y nuestra infraestructura pública tal como es accesible desde Internet. Los informes sobre una decisión de diseño que hemos documentado como un intercambio deliberado, como el grupo compartido de memoria de traducción de coincidencias exactas o la ausencia de cifrado a nivel de disco en volúmenes activos, son bienvenidos como argumentos pero no constituyen vulnerabilidades: se indican en la página de seguridad precisamente para que un investigador no pase una tarde demostrando algo que ya publicamos.

Cualquier cosa que no sea operada por nosotros, incluido el sitio web propio de un cliente, una integración de terceros y cualquier sistema al que se acceda a través de un conector. Denegación de servicio, pruebas de agotamiento volumétrico o de recursos, y cualquier acción que degrade el servicio para otros usuarios. Ingeniería social, phishing o intentos físicos contra nuestro personal, nuestras oficinas o nuestros proveedores. Spam e informes generados por un escáner automatizado sin análisis adjunto. Hallazgos que sean únicamente la ausencia de un encabezado de mejores prácticas, una bandera de cookie sin impacto demostrado, una biblioteca desactualizada sin ruta explotable, un límite de tasa que hayas encontrado al excederlo, una inyección de secuencias de comandos entre sitios (XSS) autoinfligida, un informe de clickjacking en una página sin acciones sensibles, o la ausencia de una política de seguridad de contenido amplia, lo cual ya documentamos como una brecha. Vulnerabilidades que requieran acceso físico al dispositivo desbloqueado de una víctima, o que requieran una vulneración a nivel root de la máquina propia de la víctima.

Si haces un esfuerzo de buena fe para cumplir con esta política durante tu investigación, consideraremos que tu investigación está autorizada, trabajaremos contigo para comprender y resolver el problema rápidamente, y no recomendaremos ni emprenderemos acciones legales contra ti, incluidas las relacionadas con el uso indebido de computadoras, leyes antihackeo, anticircunvención o contractuales, ni ninguna reclamación bajo la Política de Uso Aceptable o los Términos de Servicio que tus pruebas podrían infringir de otro modo. Si un tercero presenta una demanda contra ti por investigaciones realizadas bajo esta política, haremos saber que tus actividades estaban autorizadas. Este puerto seguro se limita a nosotros: no puede ni te autoriza a actuar contra un tercero, otro cliente o los sistemas de cualquier otra persona.

Usa solo inicios de sesión y cuentas que sean tuyas o para las cuales tengas permiso explícito para probar, y crea tu propio espacio de trabajo gratuito en lugar de sondear el de otra persona. No accedas, modifiques, copies, extraigas ni destruyas datos que no sean tuyos; si encuentras datos de clientes por accidente, detente, no los guardes e infórmanos inmediatamente sobre lo que viste para que podamos evaluar la exposición. No degradres la disponibilidad ni realices pruebas de carga, estrés o denegación de servicio. No uses un hallazgo para obtener más acceso del necesario para demostrarlo, ni mantengas persistencia. No extorsiones ni conditions la divulgación a un pago. No publiques antes de que la cláusula 04 lo permita. Cumple con la ley aplicable y con cualquier restricción de control de exportaciones o sanciones que te afecte.

Hoy no hay programa de recompensas por errores pagado. Lo que ofrecemos es una respuesta rápida y humana, crédito en un reconocimiento público si lo deseas, una referencia escrita para hallazgos graves y el puerto seguro mencionado anteriormente. Si iniciamos un programa pagado, publicaremos aquí el alcance y los rangos antes de aceptar el primer envío.

No le pediremos que firme un acuerdo de confidencialidad como condición para recibir su informe, ni utilizaremos un formulario de envío de informes como medio para obligarlo al silencio. No lo amenazaremos por un informe que resulte ser de baja gravedad o duplicado. No lo reportaremos ante su empleador, su universidad o una plataforma. Si no estamos de acuerdo con su calificación de gravedad, le explicaremos por qué en lugar de cerrar el hilo.

Un cliente que encuentre una vulnerabilidad mientras usa el producto está cubierto por esta política y por su puerto seguro, y reportarla nunca constituye una violación de la Política de uso aceptable. Repórtela a la dirección de seguridad en lugar de hacerlo a través del soporte ordinario, para que llegue a las personas indicadas sin quedar en una cola. No realice pruebas con datos de producción pertenecientes a sus propios usuarios finales si puede evitarlo.

La página de seguridad menciona las cosas que no hemos construido, a propósito, para que un revisor o un investigador las conozca por nosotros en lugar de durante una diligencia debida: los volúmenes activos no están cifrados en disco, el registro de auditoría es de solo anexión en la capa de aplicación y no lleva cadena de hash ni firma, no existe una política amplia de seguridad de contenido y hoy no contamos con certificación de seguridad de terceros. Publicar nuestras propias brechas es la honestidad más económica del sector y ahorra una semana a todos.

Los informes de seguridad y las preguntas sobre esta política deben enviarse a security@transglot.ai. Cualquier asunto que no sea de seguridad, incluidos abuso y derechos de autor, debe dirigirse a hello@transglot.ai. La privacidad y la protección de datos corresponden a privacy@transglot.ai.