Política de divulgación de vulnerabilidades

Nuestro compromiso

Nos tomamos muy en serio la seguridad de nuestros usuarios y sus datos. Agradecemos los informes de investigadores de seguridad y colaboraremos con usted para comprender y resolver cualquier problema con rapidez. No emprenderemos acciones legales contra usted por investigaciones de seguridad realizadas de buena fe conforme a esta política.

<b></b><b></b>

Dentro del alcance

• ahaslides.com y sus subdominios (por ejemplo presenter.dev.ahaslide.com y audiencia.ahaslides.com)
• La aplicación web AhaSlides, las aplicaciones para presentadores y para el público

Fuera del ámbito

• Pruebas de denegación de servicio (DoS/DDoS) y de inundación de tráfico o volumétrica
• Ingeniería social dirigida al personal, usuarios o contratistas; ataques físicos.
• Spam o hallazgos de escáneres automatizados sin un impacto explotable demostrado.
• Informes que afectan únicamente a navegadores que ya no son compatibles o que han llegado al final de su ciclo de vida.
• Servicios de terceros que no controlamos (diríjase directamente al tercero).
• Acceso abierto (sin autenticación) para el público: la aplicación permite deliberadamente que cualquier persona se una a una presentación y envíe respuestas sin necesidad de cuenta ni inicio de sesión, para que el público pueda participar libremente. Los informes sobre la falta de autenticación en el proceso de acceso o envío de respuestas del público no se consideran vulnerabilidades.
• Se agradecen las sugerencias sobre buenas prácticas sin impacto en la seguridad (por ejemplo, encabezados faltantes sin vulnerabilidad, detalles de SPF/DMARC, XSS intrínseco, opiniones sobre limitación de velocidad). Estas sugerencias son bienvenidas, pero no se consideran vulnerabilidades.

Las reglas de enfrentamiento

Por favor, do:

• Informe de cualquier problema en cuanto lo detecte y dénos un tiempo prudencial para solucionarlo antes de hacerlo público.
• Utilice únicamente sus propias cuentas de prueba. Deténgase en la fase de prueba de concepto.

Por favor, -:

• No acceda, modifique, descargue ni elimine datos que no le pertenezcan. Para demostrar el acceso, basta con una captura de pantalla o un registro mínimo y anonimizado; por lo tanto, no extraiga datos reales de usuarios.
• Degradar o interrumpir nuestros servicios, o ejecutar ataques automatizados de alto volumen.
• Divulgue públicamente el problema antes de que hayamos confirmado que está resuelto (ver Divulgación coordinada).

Cómo informar

Correo electrónico security@ahaslides.com con:

1. Una descripción clara de la vulnerabilidad y su impacto.
2. Reproducción paso a paso, incluyendo la URL o el punto final afectado.
3. Prueba de concepto (capturas de pantalla, un vídeo corto o una solicitud mínima), con información confidencial eliminada.
4. Tu nombre o apodo para los créditos (opcional).

Qué puedes esperar de nosotros

• Agradecimiento within 2 días hábiles.
• A decisión de triaje (válido, se necesita más información o fuera de alcance) dentro 5 días hábiles.
• Actualizaciones periódicas mientras trabajamos en la solución, y avisos cuando se haya resuelto.
• Si lo desea, puede incluir el reconocimiento público en nuestros avisos de seguridad.

Divulgación coordinada

Les pedimos que mantengan los detalles en privado hasta que confirmemos que se ha implementado una solución y que coordinen con nosotros cualquier publicación pública. Nuestro plazo previsto para la corrección es 90 díasSi necesitamos más tiempo, le explicaremos el motivo.

Reconocimiento

AhaSlides es una empresa en crecimiento y no cuenta con un programa de recompensas remuneradas fijo y publicado. Si un informe es válido, original y se divulga de forma responsable, podemos, a nuestra discreción, ofrecer una pequeña muestra de agradecimiento o un reconocimiento público.

Informes duplicados. Cuando varias personas informan del mismo problema, primer informe reproducible que recibimos es quien tiene derecho a cualquier recompensa. Quienes informen posteriormente sobre el mismo tema aún pueden recibir reconocimiento público si aportan información sustancialmente nueva (por ejemplo, un impacto más grave, una mejor reproducción o una superficie afectada adicional).

Problemas ya conocidos. Si ya conocemos el problema y lo tenemos registrado internamente antes de recibir su informe, le enviaremos un acuse de recibo y le daremos las gracias, pero no podrá optar a una recompensa. Al igual que con los duplicados, podemos ofrecer reconocimiento público si su informe aporta información sustancialmente nueva.

Siempre agradecemos su ayuda para mantener AhaSlides seguro.