Política de divulgación de vulnerabilidades

Versión 2026-10-12

Queremos conocer los problemas de seguridad de SnagBane. Si cree que ha encontrado uno, comuníquenoslo primero en privado, para que podamos corregirlo antes de que sea público.

Cómo informar

Escriba a support@snagbane.com con «Security» en el asunto. Incluya:

  • la versión y la edición de SnagBane (Configuración → Sistema y actualizaciones muestra ambas) y cómo está instalado (Docker, VPS, cPanel);
  • qué puede hacer un atacante y los pasos o una breve prueba de concepto para reproducirlo;
  • si hace falta una cuenta, y con qué rol;
  • si quiere que le mencionemos, y cómo.

No abra una incidencia pública ni publique detalles antes de que haya una corrección. Los datos de contacto legibles por máquina están en /.well-known/security.txt.

A qué nos comprometemos

  • Respondemos en un plazo de 5 días laborables para confirmar que hemos recibido su informe.
  • Le mantenemos informado al menos cada 14 días hasta que se resuelva el problema.
  • Nuestro objetivo es publicar una corrección para los problemas críticos confirmados en 7 días y para los graves en 30 días, antes si se están explotando.
  • Mencionamos la corrección en las notas de la actualización y le damos el crédito allí si lo desea.
  • Acordamos con usted cuándo se publican los detalles: tras salir la corrección o 90 días después de su informe si para entonces no lo hemos corregido, salvo que acordemos otra cosa.

No tenemos un programa de recompensas por errores.

Alcance

Dentro del alcance: el software SnagBane (paquetes gratuito y de pago, última versión), el sitio web snagbane.com y los servicios de actualizaciones y licencias de SnagBane.

Fuera del alcance: las instalaciones de SnagBane de otras organizaciones (informe a la organización que las gestiona); problemas que requieren un servidor o una cuenta de administrador comprometidos; refuerzos que faltan y que controla el administrador (por ejemplo, un ajuste desactivado); denegación de servicio y pruebas de carga; ingeniería social; y servicios de terceros como Microsoft 365, Google, Freemius o Cloudflare.

Pruebas de buena fe

Pruebe en su propia instalación: el código del servidor de SnagBane se entrega legible para que pueda revisarlo y hacer pruebas de seguridad (contrato de licencia, sección 2.3). En nuestro sitio web y servicios, use solo sus propias cuentas y un ritmo normal de peticiones; no acceda a datos de otros, no los modifique ni los conserve, y deténgase e informe en cuanto vea alguno. No emprenderemos acciones legales contra investigaciones realizadas de buena fe conforme a esta política.

Tras una actualización

Las correcciones de seguridad llegan como actualizaciones normales. Los administradores las instalan desde Configuración → Sistema y actualizaciones → Actualizaciones; cada paquete está firmado y se comprueba antes de instalarse.