En ActorDo, estamos comprometidos a mantener el más alto nivel de seguridad, integridad y confianza para nuestros usuarios, socios y sistemas.

Leer más sobre Actor Seguridad de datos y Política de privacidad

Nuestro Programa de Divulgación de Vulnerabilidades (VDP) está diseñado para ofrecer una forma clara, segura y responsable para que investigadores de seguridad, hackers éticos y la comunidad informen vulnerabilidades de seguridad en nuestros productos y servicios.

Este programa fomenta la cooperación y la divulgación responsable, permitiéndonos identificar, corregir y minimizar riesgos antes de que puedan ser explotados.

Alcance

Los sistemas/activos dentro del alcance incluyen (pero no se limitan estrictamente a):

  • Aplicaciones web y APIs de ActorDo
  • Servicios backend, microservicios e infraestructura en la nube
  • Sistemas internos, según lo permitido bajo preaprobación (ver contacto)

Los sistemas/activos fuera del alcance incluyen:

  • Servicios, integraciones o dependencias de terceros no desarrollados por ActorDo
  • Ataques físicos / hardware (p. ej., centros de datos, dispositivos a menos que estén explícitamente autorizados)
  • Ingeniería social, phishing o ataques de suplantación de identidad (a menos que estén autorizados por escrito de forma explícita)
  • Errores que no sean de seguridad o solicitudes de nuevas funcionalidades
  • Cualquier prueba que pueda causar interrupción del servicio o denegación de servicio

Para calificar, la vulnerabilidad debe:

  • Estar presente en el última versión publicada públicamente (o beta lanzada oficialmente)
  • Conducir a un impacto de seguridad (p. ej., fuga de datos, escalada de privilegios, ejecución remota de código, elusión de controles)

Directrices y reglas de participación

Al participar, siga estas reglas para mantener la elegibilidad para reconocimiento o recompensas:

  1. No causar daño
    • No eliminar ni modificar datos, ni interrumpir las operaciones normales.
    • Evitar acciones disruptivas (p. ej., lanzar ataques DDoS o causar degradación del servicio).
  2. Limite sus pruebas
    • No intente acceder o manipular datos no públicos más allá de lo estrictamente necesario para demostrar la vulnerabilidad.
    • Cuando sea posible, utilice un entorno de pruebas o una cuenta no de producción.
  3. Confidencialidad
    • No divulgue los hallazgos públicamente (blogs, redes sociales, etc.) antes de que ActorDo haya tenido un tiempo razonable para responder y remediar (ver "Plazo de divulgación").
    • No comparta ni venda la información a terceros.
  4. No usar ingeniería social
    • El phishing, la suplantación de identidad u otras técnicas similares están fuera del alcance a menos que se permitan explícitamente.
  5. Respete la privacidad y las limitaciones legales
    • No infrinja las leyes de privacidad ni acceda a datos personales sensibles más allá de lo necesario para demostrar la falla.
    • Cumpla con las leyes, regulaciones y buenas prácticas locales aplicables.
  6. Divulgación y coordinación
    • Concédanos tiempo (por lo general 90 días) para abordar el problema antes de la divulgación pública, salvo que se acuerde lo contrario.
    • Si considera que se justifica una divulgación anticipada (p. ej., riesgo de explotación), notifíquenos para que podamos coordinar un plazo más corto.

Las violaciones de estas reglas (p. ej., acciones destructivas, divulgación pública sin coordinación) pueden hacer que una presentación no sea elegible para recompensa o reconocimiento público.

Informar de una vulnerabilidad

Qué incluir en su informe

Envíe su informe a alex@actordo.com e incluya:

  • Una breve descripción del problema
  • Pasos para reproducir o prueba de concepto
  • Sistema o URL afectado
  • (Opcional) tu nombre o alias para reconocimiento

Confirmaremos la recepción de su informe en un plazo de 5 días laborables y le mantendremos informado mientras trabajamos en una solución. No todas las presentaciones recibirán un acuse de recibo si no se consideran válidas.

En su envío, indique si desea permanecer en el anonimato o ser acreditado públicamente.

Reconocimientos y recompensas

  • Podemos ofrecer recompensas de agradecimiento o reconocimiento público según el impacto y la claridad.
  • Las recompensas son discrecionales y dependen de la gravedad y la calidad del informe.
  • Los hallazgos duplicados o de bajo impacto pueden no ser elegibles.

Puerto seguro

Si sigue esta política de buena fe, usted está protegido frente a acciones legales relacionado con su investigación.

Gracias por ayudarnos a mantener ActorDo seguro.