Programa de divulgación de vulnerabilidades

Directrices para una divulgación responsable

Para mantener un entorno constructivo para la investigación sobre seguridad, le pedimos que siga estas directrices cuando realice investigaciones:

• No realice ningún tipo de ataque de denegación de servicio (DoS) contra las aplicaciones, servidores, redes o infraestructuras de byrd.
• Evite las pruebas que puedan provocar la degradación o interrupción de nuestros servicios.
• Si utiliza escáneres o herramientas automatizadas, asegúrese de que funcionan de forma que no generen un tráfico de red excesivo (por ejemplo, limite las solicitudes a un máximo de una por segundo).
• Abstenerse de filtrar, alterar o borrar cualquier dato o archivo del usuario dentro de nuestras aplicaciones o servidores.
• No acceda ni divulgue ningún archivo de nuestras aplicaciones o servidores.
• No permitimos ninguna forma de divulgación de vulnerabilidades, ya sea total, parcial o de otro tipo.
• Evite enviar spam a través de los formularios de registro de nuestros sitios web, incluido el Portal de Soporte.
• Utilice el agente de usuario "VDP name-at-email-dot-com" en todas las solicitudes basadas en web.

Orientación

Los investigadores de seguridad deben:

• Acceda únicamente a la cantidad mínima de datos necesaria. Por ejemplo, 2 o 3 registros deberían bastar para demostrar la mayoría de las vulnerabilidades, como una enumeración o una vulnerabilidad de referencia directa a objetos.
• Evite utilizar herramientas técnicas de exploración de seguridad invasivas o destructivas de alta intensidad para descubrir vulnerabilidades.
• Respete la privacidad de los usuarios, personal, contratistas, servicios o sistemas de byrd. Por ejemplo, no comparta, redistribuya ni no proteja adecuadamente los datos obtenidos de nuestros sistemas o servicios.
• No comunicar ninguna vulnerabilidad o detalles asociados a través de métodos no descritos en esta política.
• Abstenerse de alterar los datos de los sistemas o servicios byrd.
• No interrumpa los servicios o sistemas de byrd.
• Evite participar en ingeniería social, ataques de "phishing" o ataques físicos contra el personal o la infraestructura de byrd.
• No revelar ninguna vulnerabilidad en los sistemas o servicios de byrd a terceros o al público antes de que byrd haya confirmado que dichas vulnerabilidades han sido abordadas o corregidas. Esto no le impide notificar una vulnerabilidad a terceros para los que la vulnerabilidad sea directamente relevante, como cuando la vulnerabilidad se encuentra en una biblioteca o marco de software de terceros. Sin embargo, no haga referencia a detalles específicos de la vulnerabilidad en lo que respecta a byrd en dichos informes.
• No exigir compensación económica por revelar vulnerabilidades.
• Elimine de forma segura todos los datos recuperados durante la investigación tan pronto como ya no sean necesarios o en el plazo de 1 mes desde la resolución de la vulnerabilidad, lo que ocurra primero.