Política de seguridad y divulgación responsable
Expectativas de seguridad y proceso responsable de informes de vulnerabilidades para X2.
1. Propósito
X2 agradece los informes de buena fe que ayudan a identificar problemas de seguridad genuinos y al mismo tiempo protegen a los usuarios, los datos y los sistemas de producción.
2. Informes
Es posible que se informen problemas de seguridad a support@x2records.com. Los problemas de seguridad relacionados con la API o los desarrolladores también pueden informarse a developer@x2records.com.
3. Investigación de buena fe
Los investigadores deben minimizar el impacto, acceder solo a los datos necesarios para demostrar una vulnerabilidad, evitar la persistencia, evitar la ingeniería social, evitar violaciones de la privacidad y detener las pruebas donde la actividad continua pueda dañar a los usuarios o servicios.
4. Pruebas prohibidas
No realice ataques de denegación de servicio, pruebas destructivas, relleno de credenciales, implementación de malware, ataques físicos, spam, creación automatizada de cuentas a gran escala ni acceso a datos más allá de lo necesario para verificar el problema.
5. Confidencialidad
Las vulnerabilidades, credenciales, datos personales e información de servicio confidencial que no sean públicos no deben divulgarse públicamente antes de que X2 haya tenido una oportunidad razonable de investigar y remediar.
6. Sistemas de terceros
Es posible que los problemas que afecten a un proveedor externo deban informarse directamente a ese proveedor. X2 no puede autorizar pruebas de seguridad en sistemas que no controla.
7. Respuesta
X2 puede reconocer, investigar, solicitar información adicional, remediar y comunicar la resolución según la gravedad, la reproducibilidad y los sistemas afectados.
8. Sin recompensa automática por errores
Esta Política no crea un programa de recompensas por errores ni promete pagos, recompensas o compensaciones por informes, a menos que X2 establezca expresamente dicho programa por escrito.
9. Abuso
La investigación de seguridad realizada como pretexto para la extorsión, el acceso no autorizado, el robo de datos, la interrupción del servicio o el fraude no está protegida por esta Política y puede estar sujeta a su aplicación.