Política de divulgación de vulnerabilidades
Agradecemos los informes de investigadores de seguridad y de usuarios que encuentren una vulnerabilidad en Mailistix. Esta política explica cómo comunicarla, qué puede y qué no puede hacer mientras investiga, y qué puede esperar de nosotros.
1. Alcance
Dentro del alcance:
- la aplicación de escritorio de Mailistix para macOS y Windows, en su última versión publicada;
- los Servicios en la nube de Mailistix operados por nosotros, es decir, las funciones de servidor y las interfaces a las que llama la aplicación;
mailistix.comy sus subdominios operados por nosotros.
Fuera del alcance:
- los servicios operados por terceros (por ejemplo, Google, Microsoft, la propia plataforma de Supabase, Polar, Cloudflare, Sentry, PostHog). Comunique esos casos al proveedor correspondiente;
- los hallazgos que requieran acceso físico a un dispositivo desbloqueado, un dispositivo con jailbreak o root, o una cuenta del sistema operativo ya comprometida;
- las pruebas de denegación de servicio, las pruebas de carga, el spam, la ingeniería social y los ataques físicos;
- los informes de escáneres automatizados sin un impacto demostrado; la falta de cabeceras HTTP recomendadas como buena práctica sin un exploit concreto; el self-XSS; el clickjacking en páginas sin acciones sensibles; las observaciones sobre límites de frecuencia sin impacto.
2. Cómo comunicar una vulnerabilidad
Escriba a legal@mailistix.com con un asunto que empiece por Security:, en inglés o en alemán. Nuestro security.txt indica el mismo contacto. Incluya, por favor:
- el componente afectado (aplicación de escritorio con el sistema operativo y la versión, o el endpoint);
- el impacto y los pasos o una prueba de concepto para reproducirlo;
- si cree que se está explotando;
- cómo podemos ponernos en contacto con usted.
No incluya correos electrónicos, contraseñas ni tokens de otras personas. Si su informe requiere material sensible, díganoslo y acordaremos una forma segura de compartirlo.
3. Reglas para la investigación
Mientras investiga, usted debe:
- utilizar únicamente cuentas y buzones que sean suyos o que esté expresamente autorizado a utilizar;
- no acceder a datos que no sean suyos, ni copiarlos, modificarlos o eliminarlos; si accede a ellos por accidente, deténgase, no los conserve y comuníquenoslo;
- no perjudicar el servicio a otros usuarios (sin ataques de denegación de servicio, sin automatización masiva, sin ataques de fuerza bruta contra las cuentas de otros usuarios);
- no utilizar las Funciones de IA para extraer datos de otros usuarios ni para atacar a terceros;
- no explotar un hallazgo más allá de lo necesario para demostrarlo;
- concedernos un plazo razonable para resolver el problema antes de divulgarlo (sugerimos 90 días, o menos si así se acuerda), y coordinar la publicación con nosotros.
4. Puerto seguro
Si usted actúa de buena fe y sigue esta política, consideraremos que su investigación está autorizada, no ejerceremos acciones civiles contra usted ni presentaremos denuncia ante las fuerzas y cuerpos de seguridad por ese motivo, y no invocaremos frente a usted, respecto de esa investigación, las cláusulas de nuestros Términos o del EULA que prohíben la elusión de medidas de protección o la ingeniería inversa. Si un tercero emprende acciones legales contra usted por una investigación que se ajustó a esta política, haremos saber que nosotros autorizamos sus actos. Este puerto seguro no cubre las actividades que infrinjan la ley, y no podemos autorizar pruebas sobre sistemas de terceros.
5. Qué puede esperar de nosotros
- Acusamos recibo de su informe en un plazo de 5 días hábiles.
- Le mantenemos informado de nuestra valoración y de la corrección.
- Le reconocemos su aportación en nuestras notas de versión si así lo desea.
- No compartimos su identidad con terceros sin su consentimiento, salvo que la ley lo exija.
- Si la vulnerabilidad se encuentra en un componente de un tercero, podemos transmitir a ese tercero los detalles técnicos para que la corrija.
- Cuando la ley lo exige, en particular el artículo 14 del Reglamento de Ciberresiliencia de la UE (Reglamento (UE) 2024/2847), notificamos a las autoridades competentes (el CSIRT coordinador y la ENISA) las vulnerabilidades explotadas activamente.
- Utilizamos los datos personales de su informe únicamente para tramitar el informe y la corrección, tal como se describe en nuestra Política de privacidad.
- Actualmente no ofrecemos un programa de recompensas por la detección de errores (bug bounty) con pago.
6. Incidentes de seguridad que afecten a sus datos
Si usted es usuario de Mailistix y cree que su cuenta o sus datos se han visto comprometidos, póngase en contacto de inmediato con legal@mailistix.com. Cómo tratamos las violaciones de la seguridad de los datos personales se describe en nuestra Política de privacidad.