Política de divulgación responsable
Si cree haber encontrado una vulnerabilidad de seguridad en Idntfy, queremos saberlo. Esta política explica cómo comunicárnosla, qué puede y qué no puede hacer mientras investiga, y a qué nos comprometemos a cambio.
En vigor desde el
Cómo comunicar una vulnerabilidad
Envíe su informe por correo electrónico a:
Incluya:
- la dirección, la página o la función afectada;
- los pasos para reproducir el problema;
- lo que un atacante podría hacer con ello;
- si desea que le mencionemos y, en su caso, con qué nombre.
Leemos informes en inglés y en neerlandés.
Alcance
Esta política cubre los sistemas que operamos:
- nuestro sitio web (
idntfy.eu,ydntfy.com) - la plataforma Idntfy: la aplicación de administración, su servicio de inicio de sesión y su API (
app.idntfy.eu,auth.idntfy.eu,api.idntfy.eu) - los portales eIFU públicos que alojamos para nuestros clientes, incluidos los portales en el dominio propio de un cliente (
*.hcp.idntfy.eu,*.patient.idntfy.eu)
No cubre los servicios de nuestros proveedores, como nuestros proveedores de alojamiento en la nube y de correo electrónico. Comunique un problema en sus sistemas directamente a ellos, conforme a sus propias políticas.
Reglas mientras investiga
Para mantenerse dentro de esta política:
- Utilice únicamente cuentas que sean suyas o que tenga permiso para utilizar.
- No acceda a datos que no sean suyos, ni los modifique, elimine o conserve. Si encuentra datos personales o contenido de un cliente, deténgase, no los copie e indíquelo en su informe.
- No haga más de lo necesario para demostrar el problema.
- No realice ataques de denegación de servicio, pruebas de carga ni ninguna otra acción que degrade el servicio para otros.
- No utilice ingeniería social ni phishing contra nuestro personal o nuestros clientes, y no ataque nuestras instalaciones ni nuestros equipos.
- Deténgase e informe en cuanto encuentre un problema. No lo utilice para adentrarse más en nuestros sistemas.
- Mantenga los detalles en confidencialidad hasta que el problema esté corregido, tal como se describe más abajo en Divulgación.
A qué nos comprometemos
- Acusamos recibo de su informe en un plazo de 3 días hábiles.
- Le indicamos si podemos reproducir el problema y le mantenemos informado de nuestros avances hasta su resolución.
- Corregimos o mitigamos una vulnerabilidad que afecte a producción en un plazo de 7 días si es crítica, de 30 días si es alta y de 90 días si es media, a contar desde que tenemos conocimiento de ella.
- Si lo desea, le mencionamos por su nombre una vez corregido el problema.
Protección jurídica
No emprenderemos acciones legales contra usted, ni pediremos a las autoridades que actúen contra usted, por una investigación que siga esta política de buena fe. Nuestras Condiciones de servicio dicen lo mismo a nuestros clientes: la investigación de seguridad de buena fe que se nos comunique conforme a esta política no constituye un incumplimiento de sus normas de uso aceptable. Esta política no puede autorizar el acceso a sistemas que no son nuestros.
Divulgación
Concédanos un plazo razonable para corregir el problema antes de hacerlo público: 90 días desde su informe, salvo que acordemos con usted otra fecha. Avísenos antes de publicar, para que podamos acordar qué se divulga.
Sin programa de recompensas
No tenemos un programa de recompensas por errores (bug bounty) y no pagamos por los informes.
Contacto legible por máquina
Nuestro contacto de seguridad también está publicado en el formato definido en la RFC 9116, en: