Divulgación de vulnerabilidades

Escriba a la dirección indicada al pie con una descripción del problema, los pasos para reproducirlo, el impacto que estima y cualquier evidencia que ayude a verificarlo. Si necesita cifrar el mensaje, solicítenos la clave pública en el mismo correo.

Un reporte útil no requiere un exploit funcional: la descripción precisa de la condición y de cómo alcanzarla es suficiente.

• Acuse de recibo dentro de los tres días hábiles siguientes al reporte.
• Una evaluación inicial con nuestra lectura del impacto en un plazo de diez días hábiles.
• Información sobre el avance de la corrección hasta su cierre.
• Reconocimiento público de su hallazgo si así lo desea, o la reserva de su identidad si prefiere permanecer anónimo.

Están dentro del alcance los dominios y servicios operados por Edelon, incluido este sitio corporativo.

Quedan fuera los entornos desplegados dentro de la infraestructura de una institución cliente: no son nuestros para autorizar pruebas. Si su hallazgo afecta a uno de esos entornos, repórtelo igualmente y coordinaremos con la institución titular.

Edelon no emprenderá acciones legales contra quien investigue y reporte de buena fe respetando estas condiciones: no acceder a datos de terceros más allá de lo mínimo para demostrar el problema, no degradar ni interrumpir el servicio, no exfiltrar ni conservar información obtenida, y conceder un plazo razonable para la corrección antes de cualquier publicación.

Este puerto seguro cubre lo que Edelon puede comprometer. No puede extenderse a terceros ni desplazar la ley aplicable en su jurisdicción.

Edelon no opera hoy un programa de recompensas económicas. La ausencia de pago no reduce el valor del reporte ni el compromiso de responder en los plazos declarados. Si en el futuro se establece un programa retribuido, se anunciará en este documento con su fecha.