Política de seguridad
A continuación encontrarás nuestra política en materia de seguridad.
Notificación de una vulnerabilidad
La seguridad de nuestros módulos y de nuestros clientes es primordial.
Por eso animamos a los investigadores de seguridad a realizar análisis de nuestros módulos y a notificarnos cualquier vulnerabilidad identificada, respetando las buenas prácticas de divulgación responsable.
Nos comprometemos a identificar y corregir cualquier vulnerabilidad, y a comunicar de manera transparente con las partes implicadas a lo largo de todo el proceso.
Si crees haber descubierto una vulnerabilidad en uno de nuestros módulos, puedes notificárnosla de manera responsable a la dirección: [email protected]
Te invitamos a proporcionarnos el mayor detalle posible (descripción, impacto, versión afectada, pasos de reproducción).
Nuestra política de gestión de vulnerabilidades
Nuestro equipo aplica los siguientes principios:
- Acuse de recibo de toda notificación pertinente en un máximo de 7 días. (CVSS ≥ 4.0)
- Análisis de impacto y planificación de un parche en un máximo de 30 días.
- Publicación de un aviso de seguridad con CVE si la puntuación CVSS es ≥ 7.5)
- Ninguna corrección será publicada de manera silenciosa.
En paralelo, asumimos los siguientes compromisos para garantizar una gestión responsable y ética de las vulnerabilidades:
- No emprender acciones legales contra los investigadores que actúen de buena fe.
- Garantizar que ningún acuerdo de confidencialidad, incluidos los de marca blanca, pueda impedir la publicación transparente de un aviso de seguridad con identificador CVE, conforme al estado del arte.
Somos plenamente conscientes de que esta transparencia es esencial para permitir a los terceros implicados (agencias, comerciantes, etc.) cumplir con sus obligaciones de conformidad, especialmente en el marco del estándar PCI-DSS o de una de sus versiones simplificadas, como la SAQ-A.
Autorización de publicación
Autorizamos expresamente a cualquier empresa a publicar la información relativa a las vulnerabilidades corregidas de nuestros módulos en su sitio oficial, conforme a los compromisos de la Carta de ciberseguridad responsable.
Esta publicación incluye:
- Un identificador CVE asociado a la vulnerabilidad.
- Una nota de seguridad que describa claramente el problema y su resolución.
- Las versiones afectadas y la versión corregida.
- Un parche fácil de desplegar cuando la actualización no sea posible.
- Toda información útil que permita a los usuarios y agencias protegerse rápidamente.
Última actualización: 28 de agosto de 2025
