Política de seguridad y divulgación responsable

La seguridad es nuestro producto, así que agradecemos los informes de investigadores que encuentren una debilidad en HackGrade. Esta página explica cómo informar de ella y qué prometemos a cambio.

1. Cómo informar

Escribe a support@hackgrade.com con una descripción del problema, los pasos para reproducirlo, la URL afectada y el impacto que crees que tiene. No incluyas datos personales de otras personas. Nuestros datos de contacto también se publican en formato legible por máquinas en /.well-known/security.txt.

2. Dentro del alcance

• Este sitio web y su API: hackgrade.com (incl. www.hackgrade.com), hackgrade.185-202-223-42.sslip.io y cualquier dominio que publiquemos como nuestro.
• El comportamiento de nuestro escáner, por ejemplo un análisis que salga del dominio verificado o supere los límites publicados.

3. Fuera del alcance

• Los sitios web de nuestros clientes. Informa de ellos a su propietario, no a nosotros.
• Los servicios de terceros que usamos (alojamiento, pagos, correo). Informa directamente a ellos.
• Denegación de servicio, pruebas de carga, spam, ingeniería social con personal o usuarios y ataques físicos.
• Informes de herramientas automáticas sin un impacto demostrado, cabeceras de buenas prácticas ausentes sin un riesgo real y self-XSS.

4. Reglas para las pruebas

• Usa solo cuentas creadas por ti y no accedas, cambies ni borres datos de otros usuarios. Si llegas por accidente a datos de otra persona, detente, no los guardes y avísanos.
• No ejecutes a través de nuestro Servicio análisis profundos de sitios que no sean tuyos para probarlo.
• Mantén un volumen de pruebas bajo y detente si notas una degradación.
• Danos un plazo razonable para corregir el problema (nuestro objetivo es 90 días, antes en los casos graves) antes de publicar nada, y coordina la publicación con nosotros.

5. Nuestra promesa (puerto seguro)

Si actúas de buena fe y sigues esta política, consideraremos tu investigación autorizada, no emprenderemos acciones legales contra ti ni te denunciaremos a las autoridades por ella y, si un tercero emprende acciones contra ti por ella, dejaremos claro que tu investigación estaba autorizada. Confirmaremos la recepción en un plazo de 3 días hábiles, te mantendremos informado y, si lo deseas, te daremos reconocimiento público. Por ahora no pagamos recompensas (bug bounty).

Este puerto seguro cubre solo los sistemas propios de HackGrade. No puede autorizar pruebas de sistemas de terceros.