Borrador — documento en revisión por un jurista. Esta política podrá precisarse tras su revisión.

Traducción facilitada a título informativo: solo la versión francesa de este documento es vinculante. Version française

Notificar una vulnerabilidad

Política de divulgación responsable

¿Ha encontrado un fallo de seguridad en Omnifloo Office? Le rogamos que nos lo notifique antes de cualquier divulgación pública: nos permite corregirlo y proteger a los usuarios.

1. Cómo escribirnos

Envíe su mensaje a securite@omnifloo.com, en francés o en inglés. Esta información nos ayuda a reproducir el problema:

• la dirección o función afectada y el tipo de fallo;
• los pasos para reproducirlo, si es posible con una captura o un script corto;
• el impacto que ha constatado o que teme;
• una forma de responderle y el nombre con el que desea que se le agradezca, si lo desea.

La misma información de contacto se publica en formato legible por máquinas en el archivo security.txt (RFC 9116). No adjunte datos personales reales: describa más bien su naturaleza.

2. Lo que nos comprometemos a hacer

• Acusar recibo de su notificación en 3 días hábiles.
• Evaluar la gravedad, mantenerle informado del avance y avisarle cuando el fallo esté corregido.
• Corregir en primer lugar los fallos más graves, sin plazo fijo garantizado: la duración depende de la complejidad.
• No emprender acciones judiciales contra una persona que haya actuado de buena fe y respetado las reglas siguientes.
• Citar su nombre en nuestros agradecimientos si lo desea. No ofrecemos recompensa económica.

3. Lo que le pedimos

• Limitar sus pruebas a lo estrictamente necesario para demostrar el fallo, sin consultar, modificar ni eliminar datos que no sean suyos.
• No degradar el servicio: nada de denegación de servicio, pruebas de carga ni spam.
• No explotar el fallo más allá de la demostración y no transmitirlo a terceros.
• Darnos un plazo razonable para corregir antes de cualquier publicación; a falta de acuerdo, 90 días después de su notificación.

4. Alcance

Entran en el alcance: el portal Omnifloo Office, el espacio de archivos, el servidor de edición de documentos y los demás servicios accesibles bajo el dominio omnifloo.com y sus subdominios. Quedan fuera de esta política: la ingeniería social (suplantación dirigida a nuestro equipo o a nuestros usuarios), los ataques físicos, los servicios de nuestros proveedores (alojamiento, correo, pago), que tienen sus propios procedimientos, y los informes de herramientas automáticas sin impacto demostrado.

5. Situación actual

Las medidas de seguridad existentes se describen en la página Soberanía y alojamiento. El código del portal ha sido objeto de auditorías internas seguidas de correcciones y contraauditorías. Hasta la fecha no se ha realizado ninguna prueba de intrusión por un tercero independiente: es una de las razones por las que su notificación es valiosa.