POLÍTICA DE DIVULGACIÓN RESPONSABLE

Fecha de entrada en vigor: 18 de junio de 2025 

Última actualización: 18 de junio de 2025 

En Addverb Technologies Private Limited, incluidas sus subsidiarias (“Addverb”), nos tomamos la seguridad muy en serio. Reconocemos el valioso papel que desempeñan los investigadores de seguridad independientes para ayudarnos a mantener los más altos estándares de ciberseguridad. Esta Política de Divulgación Responsable (“Política”) describe el proceso mediante el cual los investigadores de seguridad pueden informar sobre posibles vulnerabilidades de seguridad en los activos digitales de Addverbde manera legal, responsable y ética. 

Al seguir esta Política, los Investigadores de Seguridad pueden contribuir a la seguridad y resiliencia generales de nuestros sistemas, al tiempo que se aseguran de permanecer protegidos de acciones legales, siempre que se adhieran estrictamente a los términos aquí establecidos. 

Alcance de la política 

Esta política se aplica a addverby sus subdominios, operados o administrados por Addverb , que estén explícitamente cubiertos por los dominios de acceso público. 

Esta Política no autoriza: 

1. Cualquier acceso a los sistemas que exceda el alcance previsto. 

2. Pruebas en recursos no públicos o de terceros. 

3. Violación de las leyes aplicables. 

Para los fines de esta Política, "Investigador de Seguridad" se refiere a cualquier persona física o jurídica que, de buena fe, interactúe con los sistemas, servicios o productos de Addverbcon el único propósito de informar sobre una vulnerabilidad de seguridad de conformidad con esta Política. Esto incluye a hackers éticos, investigadores independientes, cazadores de recompensas por errores y cualquier otra persona que presente dichos informes. 

Proceso de divulgación responsable 

Solicitamos a todos los investigadores de seguridad que: 

1. Actúa de buena fe y dentro de los límites de la ley. 

2. Evite cualquier acción que pueda causar daño, interrupción o pérdida a Addverb o a sus clientes. 

3. Proporcione un informe detallado que incluya los pasos para reproducir el problema, el impacto potencial y las medidas correctivas recomendadas. 

4. No divulgue la vulnerabilidad al público ni a terceros hasta que Addverb le otorgue permiso expreso por escrito con antelación. 

Informes 

Para informar sobre una vulnerabilidad, envíenos un correo electrónico a [email protected] 

Su informe debe incluir: 

1. Una descripción clara de la vulnerabilidad. 

2. La fecha y hora del descubrimiento. 

3. Impacto supuesto 

4. Servicios o URL afectados. 

5. Instrucciones paso a paso para reproducir el problema. 

6. Cualquier captura de pantalla, registro o código de prueba de concepto relevante. 

7. Solución recomendada 

Addverb confirmará la recepción en un plazo de 7 días hábiles y se esforzará por evaluar y resolver los problemas válidos en un plazo técnicamente razonable. Addverb podrá optar por descartar las solicitudes de quienes presenten un gran volumen de informes de baja calidad. 

Exclusiones 

• Las vulnerabilidades que no demuestren un impacto en la seguridad quedarán fuera del alcance de este programa. 

• Vulnerabilidades relacionadas con los registros SPF/DMARC/DKIM sin prueba verificable de suplantación de identidad  

• Consideraciones sobre las mejores prácticas, como las cookies que no son de sesión y que no están marcadas como seguras y solo HTTP, la configuración SSL/TLS, la falta de encabezados de seguridad, etc. 

• Vulnerabilidades reportadas por herramientas y escáneres automatizados sin prueba de concepto adicional 

• Ataques de denegación de servicio (DoS) y denegación de servicio distribuida (DDoS) 

• Spam, ataques de fuerza bruta o pruebas que impliquen datos personales. 

• Exploits que requieren acceso físico al dispositivo de la víctima 

• Inyección de encabezado de host 

• Bibliotecas vulnerables previamente conocidas sin una prueba de concepto funcional 

• Cualquier tipo de ataque de suplantación de identidad o cualquier ataque que conduzca al phishing (por ejemplo, suplantación de correo electrónico, captura de credenciales de inicio de sesión con una página de inicio de sesión falsa) 

• Errores que requieren una interacción del usuario extremadamente improbable, es decir, ataques de ingeniería social, dirigidos tanto a usuarios como a empleados Addverb , en particular. 

• Divulgación de claves API de terceros sin ningún impacto o que se supone que son abiertas/públicas. En concreto, claves API de Google Maps expuestas y claves en archivos XML de Android.  

• OPCIONES / RASTREO Métodos HTTP habilitados 

• Divulgación de archivos o directorios públicos conocidos (por ejemplo, robots.txt, CSS/imágenes, etc.) 

• Presencia de la funcionalidad de "autocompletar" o "guardar contraseña" en la aplicación o el navegador web 

• Cualquier tipo de vulnerabilidad que requiera la instalación de software como complementos del navegador web, etc., en el equipo de la víctima 

• Fuerza bruta en formularios (por ejemplo, página de boletín informativo/contacto) 

• Faltan buenas prácticas en la Política de Seguridad de Contenido. 

• Faltan las cabeceras SSL y CAA 

• Errores funcionales, de interfaz de usuario y de experiencia de usuario, así como errores ortográficos. 

Las infracciones de las exclusiones enumeradas anteriormente pueden dar lugar a la exclusión de las protecciones de puerto seguro y a posibles acciones legales. 

Sin recompensas 

No se ofrece ni se proporciona compensación monetaria alguna por informar sobre vulnerabilidades. Esta política no pretende fomentar ni autorizar pruebas de penetración, escaneos ni intentos de pirateo contra la infraestructura de tecnología de la información de Addverb, sino proporcionar un marco responsable y seguro para comunicar y solucionar las vulnerabilidades de seguridad legítimas. 

Addverb se reserva el derecho de evaluar cada solicitud individualmente. A su entera discreción, Addverb podrá optar por ofrecer gestos de agradecimiento no monetarios, como un reconocimiento público o una carta de agradecimiento, previo acuerdo mutuo y solo si el investigador de seguridad ha cumplido con todos los términos de esta Política. 

Puntos para recordar 

• No explote ninguna vulnerabilidad más allá de lo necesario para demostrar su existencia. 

• No acceda, copie, descargue ni manipule datos que no le pertenezcan. 

• No interrumpa la disponibilidad de ningún sistema o servicio durante las pruebas. 

• No intentes acceder a las cuentas o credenciales de otros usuarios. 

• Toda actividad deberá mantenerse dentro del alcance y los límites establecidos en esta Política. 

Indemnidad 

Al enviar un informe de vulnerabilidad conforme a esta Política, el Investigador de Seguridad acepta indemnizar, defender y eximir de responsabilidad Addverb, sus afiliados, funcionarios, directores, empleados y agentes frente a cualquier reclamación, daño, responsabilidad, pérdida, costo y gasto (incluidos los honorarios de abogados) que surjan de o estén relacionados con la conducta, acciones u omisiones del Investigador de Seguridad que infrinjan los términos de esta Política, violen las leyes aplicables o causen daño a Addverb o a cualquier tercero. 

Aviso legal y descargo de responsabilidad 

Addverb se reserva todos los derechos legales en caso de incumplimiento de esta Política, incluidos los derechos para iniciar procedimientos penales o civiles conforme a las leyes aplicables y la legislación internacional pertinente. 

Esta política no otorga ninguna licencia (expresa ni implícita) para acceder a los sistemas de Addverbni para realizar pruebas de seguridad. Addverb se reserva el derecho de modificar o retirar esta política en cualquier momento sin previo aviso. La participación no crea ninguna relación contractual entre Addverb y el investigador de seguridad. 

Contáctanos 

Todas las preguntas, comentarios o informes de vulnerabilidades relacionados con esta Política deben dirigirse a [email protected]