Vendemos revisión externa autorizada, así que lo mínimo es tener nuestro propio canal de reporte publicado. Si encontraste algo en un sistema nuestro, acá está cómo avisarnos y qué pasa después.
A qué sistemas aplica
A los sistemas que GH Sentinel y GHAnalytics SpA operan directamente: este sitio, sus subdominios y los servicios que publicamos bajo nuestros dominios. No aplica a sistemas de clientes, proveedores ni terceros; un hallazgo en un sistema ajeno debe reportarse a su responsable.
Esto no es una autorización para probar
Esta política describe cómo recibimos reportes. No habilita escaneos, pruebas activas, acceso a datos ni ninguna otra actividad sobre nuestros sistemas. Es el mismo criterio que aplicamos a los sistemas de nuestros clientes: sin autorización previa y por escrito, no hay prueba.
Cómo reportar
Escribe a contacto@ghanalytics.cl con el asunto “Reporte de seguridad”. La ubicación estándar de este canal es /.well-known/security.txt, según el RFC 9116.
Incluye lo necesario para entender y reproducir el problema:
- sistema o URL afectada;
- descripción del problema y del impacto que observas;
- pasos de reproducción, con la mínima evidencia necesaria;
- cómo prefieres que te contactemos y si quieres crédito público.
No incluyas datos personales de terceros, credenciales funcionales ni volcados de información. Si la evidencia es sensible, dilo en el primer correo y acordamos un canal cifrado antes de que la envíes.
Qué no hacer
- no accedas, modifiques ni descargues datos que no sean tuyos;
- no ejecutes pruebas de denegación de servicio ni de carga;
- no uses ingeniería social, phishing ni pruebas físicas contra el equipo;
- no publiques el problema antes de que coordinemos la divulgación;
- detente en la primera evidencia suficiente de que el problema existe.
Qué puedes esperar de nosotros
- confirmamos la recepción del reporte dentro de cinco días hábiles;
- te informamos qué hicimos con el hallazgo y cuándo quedó corregido;
- no publicamos tu nombre ni tus datos sin tu autorización;
- si quieres crédito, lo damos una vez corregido el problema.
Divulgación coordinada
Preferimos corregir antes de que el problema se conozca. Si quieres publicar tu hallazgo, acordemos una fecha; lo razonable es esperar a que exista corrección o a que hayan pasado noventa días desde el reporte, lo que ocurra primero.
Alcance de esta política
Esta política aprobada describe cómo recibimos reportes hechos de buena fe. No concede autorización para investigar nuestros sistemas ni ofrece inmunidad o una cláusula de puerto seguro. Toda prueba requiere un permiso independiente, previo y por escrito que defina activos, técnicas y límites.
Fuera de alcance
Cabeceras informativas sin impacto demostrable, versiones antiguas sin explotación acreditada, resultados de escáneres automáticos sin validar y mejores prácticas sin un problema concreto detrás. Los recibimos igual, pero no cuentan como vulnerabilidad.
Para tu propia empresa
Si quieres publicar tu canal de reporte, escribimos cómo publicar un security.txt y por qué conviene tenerlo.