Política de divulgación responsable

En eu4ua, la seguridad de los datos de refugiados, anfitriones y voluntarios es nuestra prioridad. El propósito de esta página (la "Política de divulgación responsable") es proporcionarle toda la información que necesita si ha descubierto una posible vulnerabilidad en cualquiera de nuestros productos o servicios.

Agradecemos mucho la ayuda de nuestra comunidad y que cualquier divulgación se haga de forma responsable. Asegúrese de cumplir las condiciones que se indican a continuación.

Puede enviar los fallos a security@eu4ua.org y, por favor, incluya la siguiente información:

  • URL o dirección IP afectada
  • una descripción del problema que incluya una lista de pasos para reproducirlo
  • el período de tiempo durante el cual pudo observar el problema

Dado que somos una asociación, tenga en cuenta que no ofrecemos un programa de recompensas por fallos. Esto significa que no pagamos recompensas por las vulnerabilidades de seguridad reveladas.

ALCANCE

El ámbito de aplicación incluye todos los activos de eu4ua. org, salvo los relacionados con terceros.

LO QUE LE PEDIMOS

  • Cuando busque posibles puntos débiles en nuestro sistema, asegúrese de configurar el siguiente encabezado. Así nos ayudará a discriminar sus pruebas de las de un actor malintencionado.

    X-Bug-Hunter: <nickname></nickname>

  • No dude en compartir con nosotros la dirección IP que utilizó para sus pruebas al enviar su informe.
  • Si descubre un problema que revela datos personales (PII), debe asegurarse de que se eliminen tan pronto como haya hecho la revelación.

Preguntas frecuentes

¿Qué no debo informar?

  • Sugerencias de configuración de Sender Policy Framework (SPF), DKIM y DMARC
  • Divulgación de archivos o directorios públicos conocidos (por ejemplo, robots.txt)
  • Publicidad en los servicios comunes/públicos
  • Ataques de phishing o ingeniería social

¿Cuándo tendré noticias suyas después de hacer una declaración?

Nuestro equipo le enviará una respuesta para informarle de que hemos recibido su informe y se pondrá en contacto con usted si necesita más información.

¿Puedo publicar algo sobre la vulnerabilidad después de mi divulgación?

Una vez revisado y solucionado el problema por nuestro equipo, le enviaremos un consentimiento por escrito para divulgar el problema.

Gracias por su apoyo.