Política de divulgación responsable
En Gig Earnings Guide (gigearningsguide.com) nos tomamos en serio la seguridad de nuestro sitio web, nuestra infraestructura y nuestra comunidad de usuarios. Agradecemos los comentarios y aportes de investigadores de ciberseguridad independientes, hackers éticos y entusiastas de la tecnología que nos ayudan a mantener segura nuestra plataforma.
Garantía de safe harbor (puerto seguro):
Si investigas vulnerabilidades de buena fe y de acuerdo con esta política, consideramos que tus acciones están autorizadas. No iniciaremos acciones legales civiles ni penales en tu contra. No pediremos la intervención de las autoridades.
Si investigas vulnerabilidades de buena fe y de acuerdo con esta política, consideramos que tus acciones están autorizadas. No iniciaremos acciones legales civiles ni penales en tu contra. No pediremos la intervención de las autoridades.
1. Reglas de participación (lineamientos)
Para tener derecho a la protección de safe harbor y ayudar a nuestro equipo de seguridad, aceptas:
- Avisarnos de inmediato: Reporta cualquier posible vulnerabilidad de seguridad en cuanto la descubras.
- Proteger la privacidad de los usuarios: Haz todo lo razonablemente posible para no acceder, ver, modificar, descargar ni destruir datos personales, pedidos o claves de licencia de otros usuarios. Si accedes a datos personales por accidente, deja de hacer pruebas y repórtalo de inmediato.
- No interrumpir el servicio: No hagas nada que empeore la experiencia de los usuarios, tumbe los servidores o afecte la disponibilidad.
- Mantener la confidencialidad: No divulgues públicamente la vulnerabilidad ni la compartas con terceros hasta que nuestro equipo la haya investigado, la haya resuelto y haya confirmado la corrección (divulgación coordinada).
2. Técnicas de prueba prohibidas
Totalmente fuera del alcance:
- Ataques de denegación de servicio (DoS / DDoS) o intentos de agotar recursos.
- Ataques automatizados de fuerza bruta o de relleno de credenciales (credential stuffing) contra los endpoints de inicio de sesión o de activación de licencias.
- Phishing, spear phishing o ingeniería social dirigidos a administradores o shoppers.
- Ataques físicos contra centros de datos, empleados o hardware de hospedaje.
- Ataques dirigidos directamente a la infraestructura de terceros (por ejemplo, atacar los servidores de pago de Paddle.com o los nodos edge de Cloudflare).
3. Objetivos dentro del alcance
- Dominios web principales y subdominios (por ejemplo,
gigearningsguide.com). - Endpoints públicos del lector web, aplicaciones cliente en HTML y lógica de JavaScript.
- Defensas de Content Security Policy (CSP), Cross-Site Scripting (XSS) y Cross-Site Request Forgery (CSRF).
4. Cómo reportar una vulnerabilidad
Envía reportes detallados a nuestro correo de seguridad:
Correo de seguridad: gigearningsguide@gmail.com
En tu reporte, incluye:
- Una descripción clara de la vulnerabilidad y su tipo (por ejemplo, XSS o una mala configuración de CORS).
- Instrucciones paso a paso para reproducirla o una prueba de concepto (PoC) mínima.
- La URL, el parámetro o los encabezados de la solicitud HTTP afectados.
- Tu evaluación del posible riesgo o impacto en el mundo real.
5. Plazos de respuesta y reconocimiento
Nos comprometemos a manejar los reportes de seguridad de forma responsable:
- Acuse de recibo inicial: Dentro de las 48 horas siguientes a tu envío.
- Clasificación y evaluación: Dentro de 5 días hábiles.
- Corrección: Trabajamos para corregir los problemas de alta gravedad lo más rápido posible.
- Reconocimiento: Por ahora no tenemos un programa de recompensas pagadas (bug bounty). Sin embargo, con gusto te daremos crédito público en nuestro Salón de la Fama de Seguridad por vulnerabilidades válidas, novedosas y relevantes reportadas de forma ética.