Seguridad
Cómo protegemos nuestros sistemas y cómo reportarnos una vulnerabilidad.
Última actualización:
Cómo trabajamos
- TLS mutuo entre servicios y TLS en todo endpoint público.
- Credenciales de corta vida emitidas por Vault; las claves privadas se quedan en memoria siempre que es posible.
- Permisos mínimos verificados en cada solicitud, y segundo factor para operaciones destructivas.
- Dependencias fijadas y actualizadas automáticamente, y cambios revisados antes de llegar a producción.
- Logs y alertas centralizados, con guardias rotativas.
Reportar una vulnerabilidad
Escribe a security@globalso.dev. Incluye qué encontraste, dónde, cómo reproducirlo y qué impacto crees que tiene. Nuestro security.txt está en /.well-known/security.txt.
Confirmaremos la recepción en tres días hábiles, te mantendremos al tanto mientras lo corregimos y, si quieres, te daremos crédito cuando esté resuelto.
Alcance
Dentro del alcance: globalso.dev, no-id.org y sus subdominios, y el código de nuestros repositorios públicos.
Fuera del alcance: denegación de servicio, ingeniería social contra nuestro equipo o clientes, ataques físicos y hallazgos en servicios de terceros que usamos.
Puerto seguro
Si actúas de buena fe, sigues esta política, evitas acceder a datos de otras personas o modificarlos, y nos das un plazo razonable para corregir el problema antes de divulgarlo, no emprenderemos acciones legales contra ti por tu investigación.