Política de divulgación de vulnerabilidades

1. Cómo informar

Envíe un correo electrónico a [email protected] con el asunto «Security report». Los datos de contacto legibles por máquinas están publicados en /.well-known/security.txt.

Incluya suficientes detalles para que podamos reproducir el problema de forma segura: la versión afectada de la aplicación o la URL, el dispositivo y la versión del sistema operativo, los pasos que siguió, lo que observó y por qué cree que se trata de un problema de seguridad. El código de prueba de concepto, los registros o las grabaciones de pantalla son útiles, siempre que no contengan datos de otras personas.

No incluya sus propias capturas de pantalla, texto extraído, términos de búsqueda u otro contenido privado, a menos que sea realmente necesario para demostrar el problema. Si un informe requiere material sensible, indíquelo primero y acordaremos cómo tratarlo.

2. Alcance

Dentro del alcance:

• La aplicación KeepSift para Android distribuida a través de Google Play.
• La aplicación KeepSift para iOS que se está preparando para su lanzamiento en el App Store, incluidas las versiones preliminares.
• Este sitio web, keepsift.com.

KeepSift es una aplicación que prioriza el funcionamiento local y no tiene cuentas, servicio de backend, biblioteca de capturas de pantalla en la nube ni telemetría dentro de la aplicación. La compilación para Android tampoco declara permiso de red. Por lo tanto, las vulnerabilidades que más nos preocupan se refieren a los datos del dispositivo: la exposición involuntaria del índice local o del contenido de las capturas de pantalla a otras aplicaciones, las deficiencias en la gestión de los permisos de fotos o en el flujo de captura de pantalla de Android, el tratamiento inseguro del texto extraído, la elusión de derechos de acceso o de compras y cualquier problema que haga que KeepSift transmita datos que no debería transmitir.

3. Fuera del alcance

• Pruebas de denegación de servicio, volumétricas o de agotamiento de recursos.
• Ingeniería social, phishing o ataques físicos contra nosotros o contra los usuarios de KeepSift.
• Informes que afecten a servicios de terceros de los que dependemos, en lugar de a nuestro propio código, incluidos el App Store, las plataformas de Apple, Google Play, Android, Google ML Kit y Cloudflare. Informe de esos problemas al proveedor correspondiente.
• Hallazgos que requieran un dispositivo rooteado, con jailbreak o ya comprometido, o un atacante que ya tenga acceso físico a un teléfono desbloqueado, salvo que pueda demostrar una escalada realista.
• Resultados de escáneres automatizados sin impacto demostrado, y ausencia de cabeceras de seguridad o recomendaciones de buenas prácticas sin una vía de explotación.
• Cualquier prueba que acceda, modifique o destruya los datos de otra persona.

4. Qué puede esperar

Somos una empresa pequeña y preferimos comprometernos con objetivos que podamos cumplir antes que con objetivos impresionantes que no podamos alcanzar.

• Confirmaremos la recepción de su informe en un plazo de 5 días hábiles.
• Le comunicaremos si consideramos que se trata de un problema de seguridad válido y nuestra evaluación inicial de su gravedad en un plazo de 15 días hábiles.
• Le informaremos al menos cada 30 días mientras trabajemos en una solución.
• Le comunicaremos cuándo se haya publicado una solución y en qué versión de la aplicación.

Cuando la ley nos obligue a notificar a una autoridad —por ejemplo, a un regulador conforme a la legislación aplicable en materia de protección de datos o a un equipo de respuesta a incidentes de seguridad informática conforme a la legislación aplicable en materia de seguridad de los productos—, lo haremos dentro de los plazos exigidos. Esta obligación es independiente de esta política y no modifica lo que le debemos como persona informante.

5. Divulgación coordinada

Denos una oportunidad razonable para corregir un problema antes de divulgarlo públicamente. Solicitamos 90 días desde su primer informe y procuraremos actuar en menos tiempo cuando se trate de algo grave.

Si no podemos corregir un problema en un plazo de 90 días, le explicaremos el motivo y acordaremos con usted una nueva fecha, en lugar de pedirle un silencio indefinido. Si un problema ya está siendo explotado, podremos actuar y divulgarlo antes. No le pediremos que retrase la divulgación indefinidamente y no consideraremos que un desacuerdo de buena fe sobre los plazos constituya un incumplimiento de esta política.

Con su permiso, nos complacerá reconocer su contribución mediante su nombre o identificador cuando publiquemos una solución.

6. Salvaguarda

Si hace un esfuerzo de buena fe por seguir esta política mientras investiga una vulnerabilidad, no emprenderemos ni apoyaremos acciones legales contra usted por esa investigación y consideraremos que su actividad está autorizada conforme a la legislación aplicable sobre uso indebido de sistemas informáticos.

Esta protección depende de que actúe de buena fe: haga pruebas únicamente en sus propios dispositivos, cuentas y datos; deténgase en cuanto haya confirmado una vulnerabilidad; no acceda, copie, modifique, conserve ni destruya los datos de ninguna otra persona; no degrade el servicio para otras personas; y no extorsione, amenace ni publique información de otras personas.

No podemos conceder esta salvaguarda en nombre de ninguna otra persona o entidad. Los terceros cuyos servicios o infraestructura utilice —tiendas de aplicaciones, proveedores de alojamiento y proveedores de plataformas— tienen sus propias políticas, y esta página no los obliga.

7. Recompensas

No gestionamos un programa remunerado de recompensas por errores y actualmente no ofrecemos recompensas económicas. Lo indicamos claramente para no dejar lugar a dudas. Ofrecemos una gestión rápida, una comunicación honesta, reconocimiento público si lo desea y una vía directa de contacto con las personas que escriben el código.

8. Contacto

[email protected]
Masorix LLC
N.º de registro 999.110.1593071

Actualmente no publicamos una clave PGP. Si necesita enviar algo cifrado, escríbanos primero por correo electrónico y acordaremos un canal.