La seguridad de los datos de los clientes de STRATO es muy importante para nosotros. STRATO apoya el proceso de notificación responsable de vulnerabilidades (Responsible Disclosure Process) y valora los informes de investigadores de seguridad éticos. Nos comprometemos a investigar todos los informes y resolver los problemas lo más rápido posible para proteger a nuestros clientes. Este documento describe cómo STRATO colabora con la comunidad de seguridad.
Ámbito de aplicación
Las siguientes vulnerabilidades en los productos y servicios de STRATO están cubiertas por este documento. Animamos a todos los miembros de la comunidad de seguridad a notificarnos lo siguiente:
- Vulnerabilidades que afecten a la confidencialidad, integridad y disponibilidad de nuestros productos y servicios, y que, por lo tanto, comprometan los datos de nuestros clientes.
Las siguientes vulnerabilidades en los productos y servicios de STRATO no están cubiertas por este documento. Por favor, no nos las informes:
- Ataques de Denegación de Servicio (DoS) (es decir, interrumpir nuestros servicios mediante un volumen elevado de solicitudes).
- Especificaciones de configuración TLS (por ejemplo, no soportar TLSv1.3, una configuración específica de Cipher Suite, etc.).
- Informes que indiquen que nuestros servicios no cumplen completamente con las “mejores prácticas” (por ejemplo, falta de cabeceras de seguridad o configuraciones subóptimas relacionadas con correos electrónicos, como SPF, DMARC, etc.).
Programa de recompensas por errores
Actualmente, STRATO no cuenta con un programa oficial de recompensas por errores (Bug-Bounty).
Informe de una vulnerabilidad
Por favor, envía todas las vulnerabilidades relevantes (ver arriba) a nuestra dirección de contacto (security@strato.de). Lee este documento completamente antes de informar sobre vulnerabilidades.
Si ha encontrado indicios de vulnerabilidades en una de nuestras aplicaciones o en la configuración del servidor, puede enviarnos la información directamente. Asegúrese de describir la vulnerabilidad que ha encontrado y proporcione la mayor cantidad de información posible en su informe. Por ejemplo:
- ¿A quién afecta la vulnerabilidad? Si es posible, indícanos las URLs correspondientes.
- ¿Cómo puede explotarse la vulnerabilidad? Si es necesario, adjunta capturas de pantalla para ilustrar la vulnerabilidad.
- Proporciona también toda la información relevante necesaria para poder reproducir el procedimiento descrito.
Puedes utilizar nuestra clave GPG para enviarnos la información de forma confidencial:
Key-Id: C3F5CBEE9789D08F008C5CD14B1AC368B68FB4CA
Fingerprint: C3F5 CBEE 9789 D08F 008C 5CD1 4B1A C368 B68F B4CA
¡Por favor, no nos envíes información confidencial como tu contraseña o datos personales!
Lo que puedes esperar de nosotros
Una vez que llegue tu informe, nuestro equipo de seguridad:
- Confirmará la recepción de tu informe y te asignará un identificador único, que aparecerá en el asunto del correo electrónico. Por favor, usa este identificador en todos tus correos electrónicos con nosotros. Normalmente, te responderemos dentro de un día hábil.
- Verificará la exactitud y validez de tu informe y comprobará si es un duplicado de un caso anterior. Si tenemos más preguntas, nos pondremos en contacto contigo.
- Tras la revisión exitosa de tu informe, lo enviaremos al departamento correspondiente para su resolución. Ten en cuenta que esto puede tardar algún tiempo. Si lo deseas, puedes consultarnos sobre el estado del informe, pero por favor, limita tus consultas a una vez cada 14 días.
- Nos pondremos en contacto contigo tan pronto como la vulnerabilidad esté corregida y, posiblemente, te pediremos que realices nuevamente las pruebas.
Si necesitamos compartir tus resultados con otra organización, te contactaremos con antelación. STRATO no perseguirá legalmente a las personas que, de buena fe y en conformidad con este documento, informen sobre vulnerabilidades de seguridad en un servicio de STRATO dentro del ámbito de aplicación.
Feedback
Si tienes comentarios o sugerencias sobre este documento, ponte en contacto con nuestro equipo de seguridad en la dirección mencionada arriba.
