Divulgación de vulnerabilidades

Cómo informar de un problema de seguridad en Arc OS, qué puedes esperar de nosotros, y el alcance y el puerto seguro para la investigación de buena fe.

Cómo informar

• Escribe a [email protected]. Un problema por informe.
• Incluye qué encontraste, dónde (URL, endpoint o commit), los pasos para reproducirlo, el impacto y cualquier prueba de concepto (proof of concept).
• Por favor, no divulgues el problema públicamente antes de que lo hayamos corregido.

Qué puedes esperar de nosotros

• Acusamos recibo de tu informe en un plazo de 5 días hábiles.
• Damos una primera valoración (aceptado, se necesita más información o fuera de alcance) en un plazo de 10 días hábiles.
• Te mantenemos al corriente durante la corrección y te avisamos cuando esté solucionado.
• Con tu consentimiento, te damos crédito una vez que la corrección esté publicada.

Alcance

Dentro del alcance:

• arc-os.co y sus subdominios, la aplicación web y la API de Arc OS, y la CLI arc y su canal de actualización.

Fuera del alcance:

• Servicios de terceros sobre los que construimos (por ejemplo Anthropic, Cloudflare, GitHub): informa de esos al proveedor.
• Hallazgos que requieran un dispositivo comprometido, un sistema operativo con root o jailbreak, o acceso físico a la máquina de alguien.
• Ingeniería social contra nuestro equipo o nuestros usuarios, spam y denegación de servicio volumétrica.
• Resultados de escáneres automáticos sin un impacto demostrado y explotable.

Puerto seguro

No emprenderemos ni respaldaremos acciones legales contra ti por la investigación de seguridad llevada a cabo de buena fe que siga esta política. Si tú:

• haces un esfuerzo de buena fe por evitar violaciones de la privacidad, la destrucción de datos y la interrupción o degradación del servicio,
• solo interactúas con cuentas que te pertenecen o para las que tienes permiso explícito de prueba,
• no accedes a los datos de otros usuarios, no los modificas ni los conservas más allá del mínimo necesario para demostrar el problema, y
• nos das un tiempo razonable para corregir el problema antes de divulgarlo públicamente,

entonces consideramos que tu investigación está autorizada, y trabajaremos contigo para resolver el problema con rapidez. Si un tercero emprende acciones legales contra ti por una actividad que siguió esta política, haremos constar esta autorización.

Este no es un programa de recompensas pagadas (bug-bounty). Por ahora no ofrecemos recompensas monetarias.

Preguntas

Escribe a [email protected]. Consulta también el Resumen de seguridad y el security.txt en /.well-known/security.txt.