Política de divulgación responsable

En WebinarGeek, reconocemos el papel fundamental que desempeña la seguridad para ofrecer servicios de calidad a nuestra base global de usuarios. A pesar de nuestros esfuerzos continuos por proteger nuestros sistemas, que puedes encontrar descritos aquí, pueden aparecer vulnerabilidades. Creemos en trabajar de forma colaborativa con la comunidad de investigación en seguridad para identificar y resolver los problemas de manera rápida y eficiente. Animamos a los investigadores y hackers éticos a colaborar con nosotros de forma responsable para mejorar nuestro entorno digital.

Pautas para informar vulnerabilidades

Invitamos a investigadores y entusiastas de la seguridad a informar sobre posibles vulnerabilidades identificadas en nuestros sistemas, con el entendimiento y la conformidad con las siguientes pautas:

• Contacto: Envía tus hallazgos a security@webinargeek.com. Proporciona información detallada, incluidos los pasos para reproducir la vulnerabilidad, para que nuestro equipo de seguridad pueda validarla y solucionarla con prontitud. Confiamos en que el cifrado de correo habitual es suficientemente seguro para ofrecer la confidencialidad necesaria al informar de una vulnerabilidad. Sin embargo, si consideras que tu informe de vulnerabilidad requiere el uso de cifrado PGP, puedes encontrar nuestra clave pública al final de esta página.

• Acuse de recibo: Nos comprometemos a acusar recibo de su informe en un plazo de dos días laborables.

• Investigación y resolución: Nuestro equipo dedicado investigará las vulnerabilidades notificadas y procurará resolverlas en el plazo de una semana desde su acuse de recibo. La complejidad y la gravedad del problema pueden afectar a los tiempos de resolución.

• Confidencialidad: Te pedimos que mantengas la confidencialidad de cualquier vulnerabilidad descubierta hasta que la hayamos resuelto. Nos coordinaremos contigo para la divulgación pública de cualquier hallazgo.

• Recompensas y reconocimiento: Aunque no todos los informes puedan optar a una recompensa, evaluamos cada envío de forma individual para determinar un posible reconocimiento o recompensa. La naturaleza de la recompensa dependerá de la gravedad y el impacto de la vulnerabilidad descubierta.

• Protección legal: Prometemos no iniciar acciones legales contra las personas que informen vulnerabilidades siguiendo estas directrices, siempre que no hayan participado en actividades ilícitas ni hecho un uso indebido de la vulnerabilidad descubierta.

Lo que no aceptamos

• Intentos de acceder, descargar o modificar datos pertenecientes a otras personas.

• Ataques de denegación de servicio (DoS).

• Spam.

• Ingeniería social o ataques físicos contra nuestra propiedad o datos.

Programa de Recompensas

• Las recompensas se determinan en función del nivel de riesgo de la vulnerabilidad de seguridad reportada y quedan a la discreción de WebinarGeek.

• En caso de informes duplicados, la recompensa se otorgará al primer informante.

• Las recompensas están sujetas a cambios y pueden variar según la singularidad y la gravedad de la vulnerabilidad.

Fuera de alcance

• Informes de problemas no relacionados con la seguridad o consultas.

• Servicios y software de terceros no gestionados directamente por WebinarGeek.

• Vulnerabilidades conocidas públicamente que ya han sido solucionadas.

• Vulnerabilidades que son:

  • Códigos HTTP 404 u otros códigos HTTP distintos de 200

  • Banners de versión en servicios públicos

  • Clickjacking en páginas sin inicio de sesión

  • Falsificación de solicitudes en sitios cruzados (CSRF) en formularios que pueden ser accedidos de forma anónima

  • Falta de las banderas "secure" / "HTTP Only" en las cookies no sensibles

  • Notificaciones relacionadas con el certificado SSL (por ejemplo, cifrado débil)

  • Uso del método HTTP OPTIONS

  • Inyección de cabecera Host

  • Falta de registros SPF, DKIM y DMARC

  • Falta de DNSSEC

  • La falta de encabezados de seguridad HTTP

  • Informar sobre versiones obsoletas de software sin una prueba de concepto ni un exploit funcional

  • Mejores prácticas

Declaración de cierre

Sus contribuciones son invaluables para la seguridad e integridad de nuestros servicios. En WebinarGeek estamos comprometidos a trabajar abiertamente con la comunidad de seguridad para mitigar y resolver las vulnerabilidades de manera responsable. Esperamos con interés sus informes y le agradecemos sus esfuerzos por ayudarnos a mantener seguros nuestros sistemas.

Para cualquier otra pregunta o envío, ponte en contacto con security@webinargeek.com.

Clave pública PGP