Política de divulgación de vulnerabilidades

Si usted hace un esfuerzo de buena fe por cumplir esta política, no iniciaremos ni apoyaremos acciones legales en su contra por su investigación. Consideramos autorizada dicha investigación, no lo denunciaremos ante las autoridades por ella y, si un tercero emprende acciones en su contra por actividades realizadas conforme a esta política, daremos a conocer que sus actos estaban autorizados.

Si no está seguro de si algo está dentro del alcance o de si una prueba en particular es aceptable, consúltenos antes de hacerla. Preferimos mucho más responder una pregunta que verlo adivinar.

Escriba a [email protected]. Incluya suficiente detalle para que podamos reproducir el problema: la URL o el componente afectado, los pasos que siguió, lo que esperaba y lo que ocurrió en realidad. Una prueba de concepto, una captura de pantalla o una grabación breve ayudan. Escriba en inglés si le es posible; si le resulta difícil, envíelo en su propio idioma y nosotros lo traduciremos.

Por favor reporte aunque no esté seguro de que sea explotable. Un hallazgo parcial que podamos investigar es más útil que un reporte perfecto que nunca llega.

Estos son plazos objetivo que nos fijamos a nosotros mismos, no garantías contractuales. Somos un equipo pequeño; si algo tarda más, le explicaremos por qué en lugar de quedarnos en silencio.

Con gusto lo reconoceremos públicamente por nombre o alias cuando se resuelva el problema, si así lo desea. Díganos cómo quiere que lo nombremos, o díganos que prefiere permanecer en el anonimato. Actualmente no operamos un programa de recompensas por errores (bug bounty) y no podemos ofrecer una recompensa económica; preferimos decirlo de entrada antes que dejar que pase un fin de semana esperando una.

Los sitios web y servicios que operamos, incluidos eyesinai.com y sus subdominios, el portal de clientes, el widget de asistente incrustable y nuestros endpoints de API públicos.

Hay cosas que no nos corresponde autorizar o que no es útil recibir. Por favor no pruebe ni reporte:

• Los sitios web y sistemas propios de nuestros clientes. Que un asistente esté incrustado en el sitio de un cliente no hace que su infraestructura sea nuestra para autorizar pruebas sobre ella.
• Proveedores externos. Nuestros proveedores de modelos, alojamiento y bases de datos tienen sus propios programas de divulgación. Repórtelo directamente a ellos.
• Denegación de servicio, pruebas de carga o agotamiento de recursos. No las pruebe nunca. Causan un daño real a un servicio en producción y están expresamente no autorizadas.
• Ingeniería social contra nuestro personal, clientes o proveedores, incluidos el phishing y el pretexting.
• Ataques físicos contra cualquier instalación o equipo.
• Hallazgos de escáneres automatizados sin impacto demostrado, encabezados de refuerzo faltantes que no conducen a una explotación, y reportes de que un modelo produjo una respuesta incorrecta o indeseable (esto último es un asunto de calidad, cubierto por la Política de uso de IA).

Para mantenerse dentro del puerto seguro descrito arriba, por favor:

• Deténgase en cuanto haya demostrado el punto. Confirme que la vulnerabilidad existe y deténgase. No enumere más.
• No acceda a datos que no son suyos, ni los modifique ni los elimine. Si accede por accidente a datos de otra persona, deténgase de inmediato, no guarde una copia y cuéntenos qué ocurrió: no se lo tomaremos en cuenta en su contra.
• Use sus propias cuentas de prueba siempre que sea posible.
• Denos un plazo razonable para corregirlo antes de publicar. Sugerimos 90 días, y con gusto acordamos con usted un plazo distinto. No usaremos un plazo de divulgación como motivo para amenazarlo.
• No degrade el servicio para otras personas mientras hace pruebas.

Se sirve un puntero legible por máquinas hacia esta política en /.well-known/security.txt, siguiendo la convención estándar para que las herramientas automatizadas y los investigadores puedan encontrar el contacto correcto sin adivinar.