Divulgación responsable
Si cree que ha encontrado una vulnerabilidad de seguridad en SentinelPanda, esta página le indica qué está dentro del alcance, cómo reportarla, qué puede esperar de nosotros y los compromisos de puerto seguro que protegen la investigación de buena fe.
Alcance
Dentro del alcance:
- app.sentinelpanda.com — la aplicación y su API.
- sentinelpanda.com — el sitio de marketing.
- Clientes móviles o de escritorio distribuidos bajo el nombre SentinelPanda (ninguno publicado actualmente).
Fuera del alcance:
- Ataques de denegación de servicio, inundación de tráfico o pruebas de límite de tasa.
- Ingeniería social de nuestro personal, clientes o socios.
- Ataques físicos contra nuestras oficinas, centros de datos o personal.
- Hallazgos ya divulgados públicamente o ya conocidos por nosotros.
- Problemas en software de terceros que no mantenemos, salvo que la integración en sí sea la superficie vulnerable.
Cómo reportar
Envíe un correo a security@sentinelpanda.com con los detalles. El correo firmado con PGP es bienvenido; la clave se referencia en /.well-known/security.txt. Incluya:
- Una descripción clara del problema y el impacto.
- Reproducción paso a paso con la prueba de concepto mínima necesaria.
- Cualquier registro, solicitud o captura de pantalla que nos ayude a verificar.
- Su nombre preferido (o seudónimo) para la lista opcional de agradecimientos.
Qué puede esperar
- Un acuse de recibo en un plazo de 2 días hábiles.
- Una decisión de triaje y una calificación de severidad en un plazo de 5 días hábiles.
- Actualizaciones de estado al menos cada 14 días mientras el problema esté abierto.
- Notificación cuando el problema se resuelva y (si lo desea) un crédito en la lista de agradecimientos.
Puerto seguro
No emprenderemos acciones civiles ni penales contra la investigación de buena fe realizada dentro de esta política. «Buena fe» significa: reportar a través del canal anterior, no acceder ni modificar datos que no sean suyos, no afectar la disponibilidad del servicio, darnos un tiempo razonable para responder y seguir cualquier indicación específica de esta página.
Agradecimientos
Los investigadores que hayan reportado problemas bajo esta política se listarán aquí, con su consentimiento. La lista está vacía al momento de la publicación; no se quedará así.