Divulgación responsable
En Flanks, nos tomamos muy en serio la seguridad de nuestros sistemas y de los datos de nuestros clientes. Valoramos el trabajo de los investigadores de seguridad que nos ayudan a mantener un alto estándar de seguridad.
Alcance
Los siguientes activos están dentro del alcance:
- *.flanks.io (aplicaciones web y API)
Los siguientes elementos quedan explícitamente fuera del alcance:
- Ingeniería social (phishing, vishing)
- Denegación de servicio (DoS/DDoS)
- Ataques de seguridad física
- Servicios y aplicaciones de terceros que no sean propiedad de Flanks
- Escaneos automatizados sin coordinación previa
Notificar una vulnerabilidad
Si crees que has encontrado una vulnerabilidad de seguridad, por favor infórmalo a security@flanks.io incluyendo:
- Una descripción de la vulnerabilidad y su posible impacto
- Pasos para reproducir el problema
- Cualquier prueba de respaldo (capturas de pantalla, registros, prueba de concepto)
Lo que pedimos
- Darnos un tiempo razonable para investigar y solucionar el problema antes de cualquier divulgación pública.
- Realizar un esfuerzo de buena fe para evitar violaciones de la privacidad, destrucción de datos e interrupciones del servicio.
- No acceder ni modificar datos pertenecientes a otros usuarios
Nuestro compromiso
- Confirmar la recepción de tu informe en un plazo de 5 días hábiles
- Proporcionar un plazo estimado para la resolución
- Mantenerte informado sobre nuestro progreso
- Mencionarte públicamente (si así lo deseas) una vez resuelto el problema
Puerto seguro
No emprenderemos acciones legales contra los investigadores que descubran y notifiquen vulnerabilidades de buena fe y en cumplimiento de esta política. Consideramos que la investigación de seguridad realizada de acuerdo con esta política es una conducta autorizada.
Recompensas
Flanks no cuenta actualmente con un programa de recompensas por errores (bug bounty) remunerado. Ofrecemos reconocimiento público por las vulnerabilidades confirmadas y divulgadas de forma responsable.