Divulgación responsable de vulnerabilidades
Borrador pendiente de revisión legal. Este documento es un borrador fundamentado y NO constituye asesoría legal ni la versión vigente hasta su revisión y aprobación por un abogado.
La seguridad de las identidades que verificamos depende de una comunidad que reporta problemas de forma responsable. Si eres investigador de seguridad y encuentras una vulnerabilidad, queremos saberlo — y trabajar contigo para resolverla.
Puerto seguro (safe harbor)
No emprenderemos acciones legales contra quien investigue y reporte de buena fe, siempre que respete esta política: que actúe sin causar daño, sin acceder a datos de terceros más allá de lo mínimo para demostrar la falla, y que nos dé un plazo razonable para remediar antes de divulgar.
Alcance
Aplica a los servicios de Belfort en:
belfort.ai(sitio)dev.belfort.ai(producto)- La API pública de Belfort
status.belfort.ai
Reglas — qué NO hacer
- No accedas ni exfiltres datos de terceros. Usa cuentas de prueba propias; si tropiezas con datos personales de otra persona, detente y repórtalo.
- No degrades el servicio. Nada de denegación de servicio (DoS/DDoS), fuzzing masivo que afecte la disponibilidad, ni spam.
- No uses ingeniería social contra nuestro equipo, clientes o proveedores, ni ataques físicos.
- No divulgues públicamente la vulnerabilidad hasta que la hayamos corregido y lo acordemos.
Cómo reportar
Escribe a security@belfort.ai con:
- Una descripción de la vulnerabilidad y su impacto potencial.
- Pasos claros para reproducirla (prueba de concepto).
- El componente o URL afectado.
- Tu forma de contacto para dar seguimiento.
Qué esperar de nosotros
- Acuse de recibo en un plazo razonable y una vía de comunicación para el seguimiento.
- Trabajo de remediación priorizado según severidad, manteniéndote al tanto.
- Reconocimiento a tu contribución si así lo deseas.
Hoy no operamos un programa de recompensas monetarias (bug bounty); si lo lanzamos, lo anunciaremos aquí.