Notificar un problema de seguridad

Nos dedicamos a comprobar los formularios de otros, así que nos tomamos en serio los avisos sobre nuestros propios sistemas. Si ha encontrado una vulnerabilidad en formexposed, díganoslo antes que a nadie.

Cómo notificarlo

Escriba a security@formexposed.com. Incluya la dirección o el componente afectado, los pasos para reproducirlo y lo que un atacante podría hacer con ello. Basta con un informe breve: le preguntaremos si necesitamos más información.

Qué prometemos

Confirmamos la recepción de su informe en un plazo de tres días laborables y le mantenemos informado hasta que se corrija.
Corregimos los problemas graves lo más rápido posible y le avisamos cuando la corrección esté en producción.
Si lo desea, le mencionaremos en esta página una vez corregido el problema.

Le rogamos que

solo haga pruebas con su propia cuenta y sus propios sitios web;
no acceda a más datos de terceros de los necesarios para demostrar el problema, y elimine lo que haya visto;
no realice ataques de denegación de servicio, pruebas de carga ni análisis automatizados de alta frecuencia;
no envíe spam ni recurra a ingeniería social o ataques físicos;
nos conceda un plazo razonable (sugerimos 90 días) antes de publicar nada.

Buena fe

Si sigue estas reglas, no emprenderemos acciones legales contra usted por su investigación ni le denunciaremos ante las autoridades.

Alcance

Dentro del alcance: formexposed.com, form.exposed, el plugin de WordPress de formexposed, la extensión de TYPO3 y el comportamiento de nuestro escáner (formexposed-bot).

Normalmente fuera del alcance, salvo que demuestre un impacto concreto: cabeceras de seguridad ausentes, configuración de SPF/DMARC, clickjacking en páginas sin acciones, números de versión, self-XSS.

Somos una empresa pequeña y no pagamos recompensas, pero agradecemos cada aviso.