Divulgación responsable: cuéntanoslo primero.
¿Encontraste un fallo de seguridad en la web, el panel o la API? Cuéntanoslo antes de contárselo al mundo. Aquí te explicamos cómo reportarlo y qué puedes esperar de nosotros.
Lo esencial
Cinco puntos para quien quiere reportar sin perder tiempo.
- Cualquier persona puede reportar. Escribe a security@ccxmessages.com.
- Nada de acceder a datos de clientes, tumbar el servicio, enviar spam ni engañar a personas.
- Entran la web, el panel y la API de CCX Messages. Los servicios de terceros quedan fuera.
- Confirmamos la recepción en un plazo de 5 días hábiles y te mantenemos informado hasta la corrección.
- La investigación de buena fe dentro de estas reglas no acabará en una demanda ni en una denuncia por nuestra parte.
Qué entra en el alcance
Esta política se aplica a los sistemas que operamos nosotros mismos:
- La web: ccxmessages.com, ccxmessages.com.br y ccxmessages.es.
- El panel: www.messages.ccxcompany.co.
- La API: api.messages.ccxcompany.co.
Fuera del alcance: los servicios de terceros que usamos (WhatsApp y demás productos de Meta, proveedores de nube, de correo y de SMS), la ingeniería social, los ataques físicos y las pruebas de carga o de denegación de servicio.
Cómo reportar
Escribe a security@ccxmessages.com, en portugués, inglés o español.
Incluye la dirección o la ruta afectada, los pasos para reproducirlo, el impacto que pudiste demostrar y cómo prefieres que te contactemos. Si necesitas enviar algo sensible, avísalo en el primer correo y acordamos un canal.
Qué te pedimos
Para que la investigación sea de buena fe, te pedimos que:
- Uses solo tus propias cuentas y datos de prueba. Si llegas a datos de clientes, detente, no copies ni guardes nada y avísanos.
- No envíes mensajes de WhatsApp, SMS, correo o push a personas reales: cada envío llega a alguien y se le cobra a un cliente.
- No degrades el servicio: nada de denegación de servicio, escaneos masivos ni automatizaciones que generen carga.
- No modifiques ni borres datos que no sean tuyos, y no mantengas el acceso después de demostrar el fallo.
- Mantengas el hallazgo en secreto hasta la corrección, como se describe en Divulgación.
A qué nos comprometemos
Por nuestra parte, nos comprometemos a:
- Confirmar la recepción en un plazo de 5 días hábiles.
- Evaluar el reporte y decirte si lo vamos a corregir, con una estimación de plazo.
- Mantenerte informado hasta la corrección.
- Darte el crédito por el hallazgo cuando el fallo esté corregido, si lo deseas. No tenemos un programa de recompensas en dinero.
- No emprender acciones legales ni presentar denuncias contra quien investigue de buena fe siguiendo esta política.
Divulgación
Te pedimos que solo hagas público el hallazgo después de la corrección, o 90 días después de tu reporte, lo que ocurra primero. Si la corrección necesita más tiempo, acordamos la fecha contigo.
¿Encontraste algo?
Escríbenos. Cuanto antes lo sepamos, antes lo corregimos.