Seguridad en CubePath
Nos tomamos muy en serio la seguridad de la infraestructura de nuestros clientes. Si has encontrado una vulnerabilidad, queremos saberlo, y trabajaremos contigo para corregirla.
Alcance del programa
Entra en el alcance todo lo que afecte a la confidencialidad, integridad o disponibilidad de los datos de nuestros clientes o de nuestros sistemas de producción.
Dentro de alcance
- cubepath.com y todos los subdominios de producción
- Panel de cliente y panel de administración
- APIs públicas (api.cubepath.com) y flujos de identidad / SSO
- Autenticación, autorización y gestión de sesiones
- Aprovisionamiento de VPS / baremetal, facturación y lógica de cuotas
- Infraestructura expuesta a Internet operada por CubePath
Fuera de alcance
- DoS / DDoS volumétrico, fuerza bruta o pruebas de carga
- Resultados de escáneres automáticos sin prueba de concepto funcional
- Sugerencias de buenas prácticas sin impacto (p. ej. cabeceras ausentes, SPF/DMARC)
- Vulnerabilidades en servicios de terceros que no operamos
Severidad y reconocimiento
Clasificamos los reportes por impacto usando CVSS como guía. A mayor impacto, mayor recompensa.
| Severidad | Ejemplos | Recompensa |
|---|---|---|
| Crítica | Ejecución remota de código, bypass de autenticación, toma total de cuenta, exposición masiva de datos | $300 - $1.000 |
| Alta | Escalada de privilegios, IDOR sobre datos sensibles, XSS almacenado en el panel | $75 |
| Media | CSRF con impacto, XSS reflejado, divulgación de información sensible | $50 |
| Baja | Problemas de impacto limitado, configuraciones menores | $25 |
Los reportes válidos se recompensan según la tabla anterior, además de crédito público con tu consentimiento. El importe final depende del impacto, la explotabilidad y la calidad del reporte.
Proceso de divulgación
Desde que envías el reporte, esto es lo que puedes esperar.
Envío
Envía un reporte detallado con una prueba de concepto a través del formulario.
Triaje
Acusamos recibo en 72 horas, reproducimos el problema y le asignamos una severidad.
Corrección
Nuestros ingenieros corrigen la vulnerabilidad y te mantienen informado del progreso.
Reconocimiento
Una vez resuelto, te damos crédito (con tu consentimiento) y coordinamos la divulgación.
Reglas de participación
Ayúdanos a proteger a nuestros clientes siguiendo estas pautas durante tu investigación.
Por favor, hazlo
- Aporta pasos claros para reproducir y una prueba de concepto
- Prueba únicamente contra tus propias cuentas y recursos
- Reporta los problemas en cuanto los descubras
- Limita el acceso a datos al mínimo necesario para demostrar el impacto
- Danos un tiempo razonable para corregir antes de divulgar
Por favor, no lo hagas
- Acceder, modificar o borrar datos de otros usuarios
- Lanzar ataques DoS / DDoS o enviar spam
- Usar escaneo automático que degrade nuestros servicios
- Divulgar públicamente una vulnerabilidad antes de que se corrija
Preguntas frecuentes
Reportar una vulnerabilidad
Envíanos los detalles y nuestro equipo de seguridad te responderá. Cuanta más información aportes, antes podremos validar y corregir el problema.
Ayúdanos a mantener CubePath seguro
¿Has visto algo que no encaja? La divulgación responsable hace la plataforma más segura para todos.