Seguridad y divulgación responsable

Versión 1.0

La seguridad de CloudControl y de los datos de nuestros clientes es prioridad. Si encuentra una vulnerabilidad, le pedimos que nos la informe de forma responsable.

Cómo informar

Escriba a [por completar: correo de seguridad] con:

• La parte afectada (página, función de la API, agente).
• Los pasos para reproducir el problema y su posible impacto.
• Su nombre o alias y cómo contactarlo, si quiere que lo mencionemos.

Respondemos dentro de 3 días hábiles y le mantenemos informado hasta corregir el problema.

Reglas

• No acceda, modifique ni elimine datos de otros. Si llega a datos de un cliente, deténgase y avísenos.
• No afecte la disponibilidad del servicio: nada de denegación de servicio, envío masivo ni ingeniería social contra el personal o los clientes.
• Pruebe solo con cuentas propias o creadas para ese fin.
• No publique el hallazgo antes de que lo corrijamos; acordaremos con usted la fecha de publicación.

Si actúa de buena fe y respeta estas reglas, no tomaremos acciones legales en su contra por la investigación.

Integridad de los agentes

Los agentes que se instalan en los servidores y equipos de los clientes van firmados por EtaSoft con una llave que no está en los servidores de CloudControl. El comando de instalación de Linux comprueba la firma antes de ejecutar nada, y el instalador de Windows no instala ningún script que no esté firmado.

Huella SHA-256 de la llave pública de EtaSoft:

por completar: huella de la llave de firma de los agentes

Compárela con la que aparece en su contrato o en la documentación de bienvenida. Si no coinciden, no instale el agente y avísenos a [por completar: correo de seguridad].

Medidas de seguridad

Las medidas que protegen los datos de los clientes se describen en la sección 3 del Acuerdo de Tratamiento de Datos. El contacto también se publica en /.well-known/security.txt.