Investigación de buena fe nunca se enfrenta a abogados.

La investigación de seguridad hace que el producto sea más seguro, y queremos que el informe nos llegue antes de que llegue a un atacante. Si sigue esta política, nosotros: reconocemos su informe rápidamente, trabajamos con usted para comprenderlo y validarlo, le mantenemos informado mientras lo solucionamos, le damos crédito si desea ser reconocido, y no emprendemos ni apoyamos acciones legales contra usted por la investigación. Ese último compromiso es el punto central de este documento, y la cláusula 07 lo establece en términos claros.

Envíe un correo electrónico a security@transglot.ai. Incluya lo que encontró, dónde lo encontró, los pasos para reproducirlo, qué podría hacer un atacante con ello y cualquier cosa que nos ayude a confirmarlo: una solicitud y respuesta, un vídeo corto, una prueba de concepto. Indíquenos si desea recibir crédito y bajo qué nombre. Escriba en inglés si puede. Si desea cifrar el informe, solicítelo en un primer mensaje e intercambiaremos una clave. También publicamos un archivo security.txt con la misma dirección, por lo que un escáner automatizado apunta a un buzón que lee una persona.

Reconocemos un informe dentro de tres días hábiles. Proporcionamos una evaluación inicial, incluida la posibilidad de reproducirlo y cómo lo hemos clasificado, dentro de diez días hábiles. Le informamos cuando se lanza una corrección y, normalmente, habremos lanzado una para un problema alto o crítico dentro de los noventa días posteriores a su validación, más rápido si el riesgo está activo. Si una corrección va a tardar más, le explicamos por qué en lugar de guardar silencio. Le avisaremos antes de publicar cualquier información sobre el problema y no publicaremos su nombre sin preguntar.

Por favor, déjenos noventa días desde su primer informe antes de publicar detalles, y más tiempo por acuerdo si la corrección es genuinamente compleja o si requiere que un cliente actúe. No utilizaremos ese periodo para ocultar el problema: le mantendremos informado y, si no podemos solucionarlo, también se lo diremos, y no nos opondremos a la publicación una vez transcurrido el plazo. Si un problema está siendo explotado activamente, infórmenos inmediatamente y actuaremos a esa velocidad. Estamos dispuestos a coordinar un aviso conjunto y a solicitar un CVE cuando sea apropiado.

La aplicación web de producción y el sitio de marketing en nuestros propios dominios, la API REST pública, el punto final de entrega, el editor en contexto y sus superficies de incrustación, nuestros paquetes de cliente publicados, nuestra entrega y firma de webhooks, nuestros flujos de autenticación e inicio de sesión único, y nuestra infraestructura pública tal como es accesible desde Internet. Los informes sobre una decisión de diseño que hemos documentado como una compensación deliberada, como el grupo compartido de memoria de traducción de coincidencia exacta o la ausencia de cifrado a nivel de disco en volúmenes activos, son bienvenidos como argumentos pero no son vulnerabilidades: están indicados en la página de seguridad precisamente para que un investigador no pase una tarde demostrando algo que ya publicamos.

Cualquier cosa no operada por nosotros, incluido el sitio web propio de un cliente, una integración de terceros y cualquier sistema alcanzado a través de un conector. Denegación de servicio, pruebas de agotamiento volumétrico o de recursos, y cualquier cosa que degrade el servicio para otros usuarios. Ingeniería social, phishing o intentos físicos contra nuestro personal, nuestras oficinas o nuestros proveedores. Spam e informes generados por un escáner automatizado sin análisis adjunto. Hallazgos que sean solo una cabecera de mejores prácticas faltante, una flag de cookie sin impacto demostrado, una biblioteca obsoleta sin ruta explotable, un límite de tasa que haya encontrado al excederlo, un cross-site scripting autoinfligido, un informe de clickjacking en una página sin acción sensible, o la ausencia de una política amplia de seguridad de contenido, que ya documentamos como una brecha. Vulnerabilidades que requieran acceso físico al dispositivo desbloqueado de una víctima, o que requieran una compromiso a nivel root de la máquina propia de la víctima.

Si hace un esfuerzo de buena fe para cumplir con esta política durante su investigación, consideraremos que su investigación está autorizada, trabajaremos con usted para comprender y resolver el problema rápidamente, y no recomendaremos ni emprenderemos acciones legales contra usted, incluidas las relativas al uso indebido de sistemas informáticos, leyes antihacking, anticircunvención o contractuales, incluyendo cualquier reclamación bajo la Política de Uso Aceptable o los Términos de Servicio que sus pruebas podrían infringir otherwise. Si un tercero emprende una acción legal contra usted por investigaciones realizadas bajo esta política, haremos saber que sus actividades estaban autorizadas. Este puerto seguro se limita a nosotros: no puede ni autoriza actuar contra un tercero, otro cliente o los sistemas de cualquier otra persona.

Utiliza únicamente inicios de sesión y cuentas que poseas o para las que tengas permiso explícito para probar, y crea tu propio espacio de trabajo gratuito en lugar de sondear el de otra persona. No accedas, modifiques, copies, extraigas ni destruyas datos que no sean tuyos, y si encuentras datos de clientes por accidente, detente, no los guardes e infórmanos inmediatamente de lo que has visto para que podamos evaluar la exposición. No degradres la disponibilidad ni ejecutes pruebas de carga, estrés o denegación de servicio. No utilices un hallazgo para obtener más acceso del necesario para demostrarlo y no mantengas persistencia. No extorsiones ni condiciones la divulgación a un pago. No publiques antes de que lo permita la cláusula 04. Cumple con la legislación aplicable y con cualquier restricción de control de exportaciones o sanciones que te afecte.

Actualmente no hay programa de recompensas por errores pagado. Lo que ofrecemos es una respuesta humana rápida, crédito en un reconocimiento público si lo desea, una referencia escrita para hallazgos graves y el puerto seguro mencionado anteriormente. Si iniciamos un programa pagado, publicaremos aquí el alcance y los rangos antes de aceptar la primera presentación.

No le pediremos que firme un acuerdo de confidencialidad como condición para recibir su informe, ni utilizaremos un formulario de envío de informes como forma de obligarle al silencio. No le amenazaremos por un informe que resulte ser de baja gravedad o duplicado. No le denunciaremos a su empleador, su universidad o una plataforma. Si no estamos de acuerdo con su clasificación de gravedad, explicaremos por qué en lugar de cerrar el hilo.

Un cliente que encuentre una vulnerabilidad mientras utiliza el producto está cubierto por esta política y por su puerto seguro, y reportarla nunca constituye una violación de la Política de Uso Aceptable. Infórmelo a la dirección de seguridad en lugar de a través del soporte ordinario, para que llegue a las personas adecuadas sin permanecer en una cola. No realice pruebas con datos de producción pertenecientes a sus propios usuarios finales si puede evitarlo.

La página de seguridad nombra las cosas que no hemos construido, a propósito, para que un revisor o un investigador las conozca por nosotros en lugar de mediante la diligencia debida: los volúmenes activos no están cifrados en disco, el registro de auditoría es de solo anexión a nivel de aplicación y no lleva cadena de hash ni firma, no existe una política amplia de seguridad de contenido y hoy no poseemos ninguna certificación de seguridad de terceros. Publicar nuestras propias brechas es la honestidad más barata del sector y ahorra una semana a todos.

Los informes de seguridad y las preguntas sobre esta política deben enviarse a security@transglot.ai. Cualquier asunto que no sea de seguridad, incluidos abusos y derechos de autor, debe enviarse a hello@transglot.ai. La privacidad y la protección de datos deben dirigirse a privacy@transglot.ai.