Política de seguridad
Notificar una vulnerabilidad
La seguridad de nuestros módulos y de las soluciones que desarrollamos para nuestros clientes es primordial. Por eso animamos a los investigadores de seguridad a que realicen análisis de nuestras soluciones y nos comuniquen cualquier vulnerabilidad detectada, de acuerdo con las buenas prácticas de divulgación responsable.
Si cree que ha descubierto una vulnerabilidad en uno de nuestros módulos, puede comunicárnoslo de forma responsable a través de nuestra página formulario de contacto
Por favor, facilite el mayor detalle posible en su informe:
Información esencial
- Descripción detallada: Explicar claramente la naturaleza de la vulnerabilidad detectada
- Evaluación de impacto : Describa las posibles consecuencias para los usuarios o los sitios
- Versiones afectadas : Especifique las versiones de los módulos afectados por la vulnerabilidad
- Fases de reproducción : Proporcionar una guía paso a paso para reproducir el problema
- Prueba de concepto : Si es posible, incluya capturas de pantalla o extractos de código pertinentes.
Nuestra política de gestión de vulnerabilidades
De acuerdo con Carta TouchWeb para una ciberseguridad responsableNuestro equipo aplica los siguientes principios:- Acuse de recibo de todos los informes pertinentes en un plazo máximo de 7 días. (CVSS ≥ 7.5)
- Análisis del impacto y planificación de un parche en un plazo de 30 días.
- Publicación de un aviso de seguridad con CVE si la puntuación CVSS es ≥ 7,5.
- No se publicarán correcciones en silencio.
- No perseguir a los investigadores que actúen de buena fe, en particular en el marco del programa YesWeHack gestionado por TouchWeb SAS.
- Garantizar que ningún acuerdo de confidencialidad, incluido un acuerdo de marca blanca, pueda obstaculizar la publicación transparente de un aviso de seguridad con un identificador CVE, de conformidad con el estado de la técnica.
Autorización de publicación
Autorizamos expresamente a TouchWeb SAS a publicar información sobre vulnerabilidades corregidas en nuestros módulos en su sitio web oficial, en consonancia con los compromisos de la Carta de Ciberseguridad Responsable. Esta publicación incluye :- Un identificador CVE asociado a la vulnerabilidad.
- Una nota de seguridad que describa claramente el problema y su resolución.
- Las versiones afectadas y la versión corregida.
- Un parche fácil de desplegar cuando la actualización no es posible.
- Cualquier información útil que permita a los usuarios y organismos protegerse rápidamente.
