En ActorDo, nos comprometemos a mantener el más alto nivel de seguridad, integridad y confianza para nuestros usuarios, socios y sistemas.

Leer más sobre Actor Seguridad de los datos y Política de privacidad

Nuestro Programa de Divulgación de Vulnerabilidades (VDP) está diseñado para proporcionar una forma clara, segura y responsable para que investigadores de seguridad, hackers éticos y la comunidad informen sobre vulnerabilidades de seguridad en nuestros productos y servicios.

Este programa fomenta la cooperación y la divulgación responsable, permitiéndonos identificar, corregir y minimizar riesgos antes de que puedan ser explotados.

Alcance

Los sistemas/activos dentro del alcance incluyen (pero no se limitan estrictamente a):

  • Aplicaciones web y API de ActorDo
  • Servicios backend, microservicios e infraestructura en la nube
  • Sistemas internos, según lo permitido bajo aprobación previa (ver contacto)

Los sistemas/activos fuera del alcance incluyen:

  • Servicios, integraciones o dependencias de terceros no desarrollados por ActorDo
  • Ataques físicos / hardware (p. ej., centros de datos, dispositivos a menos que estén explícitamente autorizados)
  • Ingeniería social, phishing o ataques de suplantación de identidad (a menos que estén explícitamente autorizados por escrito)
  • Errores no relacionados con seguridad o solicitudes de función
  • Cualquier prueba que pueda causar interrupción del servicio o denegación de servicio

Para calificar, la vulnerabilidad debe:

  • Estar presente en la última versión publicada públicamente (o beta lanzada oficialmente)
  • Conducir a un impacto de seguridad (p. ej., fuga de datos, escalado de privilegios, ejecución remota de código, bypass de controles)

Directrices y reglas de compromiso

Al participar, siga estas reglas para seguir siendo elegible para reconocimiento o recompensas:

  1. No causar daño
    • No eliminar ni modificar datos, ni interrumpir las operaciones normales.
    • Evitar acciones disruptivas (p. ej., lanzar ataques DDoS o causar degradación del servicio).
  2. Limita tus sondeos
    • No intentes acceder ni manipular datos no públicos más allá de lo estrictamente necesario para demostrar la vulnerabilidad.
    • Cuando sea posible, utiliza un entorno de pruebas o una cuenta no productiva.
  3. Confidencialidad
    • No divulgues los hallazgos públicamente (blogs, redes sociales, etc.) antes de que ActorDo haya tenido un tiempo razonable para responder y remediar (ver “Temporización de la divulgación”).
    • No compartas ni vendas la información a terceros.
  4. No realizar ingeniería social
    • El phishing, la suplantación o técnicas similares están fuera de alcance a menos que se permitan explícitamente.
  5. Respeta la privacidad y las restricciones legales
    • No infrinjas las leyes de privacidad ni accedas a datos personales sensibles más allá de lo necesario para demostrar la falla.
    • Cumple con las leyes, normativas y buenas prácticas locales aplicables.
  6. Divulgación y coordinación
    • Permítenos tiempo (típicamente 90 días) para abordar el problema antes de la divulgación pública, salvo acuerdo en contrario.
    • Si crees que se justifica una divulgación anticipada (p. ej., riesgo de explotación), notifícanos para que podamos coordinar un plazo más corto.

Las violaciones de estas reglas (por ejemplo, acciones destructivas, divulgación pública sin coordinación) pueden dejar una presentación inelegible para recompensa o reconocimiento público.

Informar una vulnerabilidad

Qué incluir en su informe

Envíe su informe a alex@actordo.com e incluya:

  • Una breve descripción del problema
  • Pasos para reproducirlo o prueba de concepto
  • Sistema o URL afectado
  • (Opcional) tu nombre o alias para reconocimiento

Reconoceremos su informe dentro de 5 business days y le mantendremos informado mientras trabajamos en una solución. No todas las presentaciones recibirán un acuse de recibo si no se consideran válidas.

En su informe, indique si desea permanecer en el anonimato o ser acreditado públicamente.

Reconocimiento y recompensas

  • Podemos ofrecer recompensas de agradecimiento o reconocimiento público según el impacto y la claridad.
  • Las recompensas son discrecionales y dependen de la gravedad y la calidad del informe.
  • Los hallazgos duplicados o de bajo impacto pueden no ser elegibles.

Puerto seguro

Si sigue esta política de buena fe, usted está protegido frente a acciones legales relacionado con su investigación.

Gracias por ayudarnos a mantener ActorDo seguro.