Política de seguridad

ADME USA valora el trabajo de quienes investigan seguridad y nos ayudan a proteger nuestro sitio, servicios y comunidad. Esta política explica cómo reportar una posible vulnerabilidad y las condiciones para realizar investigación de seguridad de buena fe.

Reportar una vulnerabilidad

Escribe a security@admeusa.org con el asunto Reporte de vulnerabilidad de seguridad. Incluye:

• La URL, función o servicio afectado.
• Una descripción clara del problema y su posible impacto.
• Los pasos para reproducirlo o una prueba de concepto mínima.
• Las condiciones necesarias para reproducir el problema.
• Una forma de contactarte si necesitamos información adicional.

No incluyas información personal, credenciales u otros datos sensibles salvo que sea indispensable para explicar el problema. Nuestra información de reporte legible por máquinas está disponible en security.txt.

Alcance

Esta política cubre admeusa.org, sus subdominios oficiales y los servicios web públicos operados por ADME USA.

Los servicios de terceros se rigen por sus propias políticas de seguridad. Aun así, puedes contactarnos cuando una vulnerabilidad en una integración de terceros afecte directamente a ADME USA.

Investigación de seguridad de buena fe

Al investigar una posible vulnerabilidad:

1. Cumple las leyes aplicables y esta política.
2. Usa únicamente cuentas y datos propios o para los que tengas autorización.
3. Accede solo a la información mínima necesaria para confirmar el problema.
4. Detén las pruebas y reporta el problema si encuentras información personal, confidencial o financiera.
5. No conserves, compartas, modifiques ni elimines datos obtenidos durante las pruebas.
6. Evita interrumpir los servicios o degradar su disponibilidad.

No se permiten la ingeniería social, el phishing, los ataques físicos, las pruebas de denegación de servicio, el spam, la distribución de malware ni el escaneo automatizado de alto volumen.

Puerto seguro

Si actúas de buena fe y cumples esta política, ADME USA no iniciará acciones legales en tu contra únicamente por tu investigación de seguridad. Si tus actividades generan dudas, contáctanos antes de continuar para que podamos aclarar si están cubiertas por esta política.

Este puerto seguro no autoriza actividades contra sistemas de terceros ni exime del cumplimiento de las leyes aplicables.

Nuestra respuesta

Revisaremos los reportes y podremos contactarte para solicitar información adicional. Cuando confirmemos una vulnerabilidad, trabajaremos para evaluar y atender el riesgo y coordinaremos su divulgación cuando corresponda.

Los tiempos de respuesta y corrección dependen de la gravedad, complejidad y servicios involucrados. Esta política no garantiza un tiempo específico de respuesta o resolución.

Divulgación coordinada

Danos una oportunidad razonable para investigar y corregir una vulnerabilidad reportada antes de publicar sus detalles. Coordina con nosotros cualquier divulgación pública para reducir el riesgo para las personas usuarias y los servicios.

Reconocimiento y recompensas

ADME USA no opera actualmente un programa de recompensas por errores. Los reportes no generan derecho a pago salvo que se haya acordado una recompensa por escrito antes de iniciar la investigación.

Cambios a esta política

Podemos actualizar esta política a medida que evolucionen nuestros servicios y prácticas de seguridad. La versión vigente y su fecha de actualización permanecerán disponibles en esta página.

Contacto

Para reportes de seguridad o preguntas sobre esta política, escribe a security@admeusa.org.