Política de Divulgació de Vulnerabilitats
1. Introducció
BLUE ZEBRA LABS, S.L. · NIF B88890629
C/ Saragossa, 95, entl. porta 3 · 08006 Barcelona (Espanya)
Contacte: legal@bluezebralabs.com
La seguretat de les dades dels nostres clients i dels seus propis clients és una prioritat. Aquesta política dona instruccions als investigadors de seguretat per dur a terme activitats de descobriment de vulnerabilitats de bona fe, i explica com reportar-nos les vulnerabilitats trobades: quins sistemes cobreix, quins tipus de prova estan permesos i com enviar-nos els informes.
2. Directrius
Et demanem que:
- Ens avisis tan aviat com sigui possible després de descobrir un problema de seguretat real o potencial.
- Ens concedeixis un termini raonable per resoldre el problema abans de fer-lo públic.
- Facis tot el possible per evitar violacions de privacitat, degradació de l'experiència d'usuari, interrupcions en producció i destrucció o manipulació de dades.
- Usis exploits només en la mesura necessària per confirmar la presència d'una vulnerabilitat. No els usis per comprometre o extreure dades, establir accés persistent ni pivotar cap a altres sistemes.
- Si confirmes una vulnerabilitat o trobes dades sensibles (personals, financeres o secrets comercials de qualsevol part), aturis la prova, ens ho notifiquis immediatament i tractis aquestes dades amb confidencialitat estricta.
- No enviïs un volum alt d'informes de baixa qualitat.
3. Autorització
La recerca de seguretat feta de conformitat amb aquesta política es considera autoritzada. Treballarem amb tu per entendre i resoldre el problema amb rapidesa, i Blue Zebra Labs, S.L. no emprendrà ni recomanarà accions legals en relació amb recerques que respectin aquesta política.
4. Abast
Aquesta política aplica als sistemes següents:
- www.bluezebralabs.com (lloc públic)
- portal.bluezebralabs.com (portal de clients)
- api.bluezebralabs.com (API de la plataforma)
- L'aplicació mòbil companion de BlueZebra
- El widget de xat web incrustable servit per la plataforma
5. Fora d'abast
Qualsevol sistema no llistat explícitament més amunt queda fora d'abast, inclosos els llocs web dels nostres clients que incrusten el widget. Les vulnerabilitats en solucions de tercers amb què la plataforma s'integra s'han de reportar directament al proveïdor corresponent conforme a la seva pròpia política de divulgació. Si dubtes de si un sistema és dins l'abast, escriu-nos abans de començar a security@bluezebralabs.com.
6. Tipus de prova no autoritzats
- Proves de denegació de servei (DoS o DDoS).
- Proves físiques (accés a oficines, portes, tailgating), enginyeria social (phishing, vishing) o qualsevol altra prova no tècnica.
- Proves contra dades o negocis reals dels nostres clients.
7. Com reportar una vulnerabilitat
Envia un email a security@bluezebralabs.com. Els informes es poden enviar de manera anònima. El nostre fitxer security.txt (RFC 9116) publica aquest mateix canal.
8. Informació recomanada
Per poder processar i reaccionar a l'informe, recomanem incloure-hi:
- Descripció de la vulnerabilitat
- On s'ha descobert
- Impacte potencial
- Passos per reproduir-la (amb scripts i captures si és possible)
Si és possible, envia l'informe en anglès o espanyol.
9. El nostre compromís
Si ens facilites dades de contacte, ens comprometem a comunicar-nos amb tu de manera transparent i puntual: acusarem recepció del teu informe en un màxim de 3 dies laborables i et mantindrem informat, en la mesura de les nostres capacitats, de la confirmació i resolució de la vulnerabilitat. Agraïm el diàleg i estem oberts a discutir qualsevol dubte.