Programa de Divulgación de Vulnerabilidades

Qué Está Dentro del Alcance

Prueba solo lo siguiente:

• Nuestro sitio web en talismanleads.io y sus subdominios, incluidas las páginas de inicio de sesión, cuenta, facturación y herramientas gratis.
• Nuestro bot de Telegram, @TalismanLeadsV1bot.
• Las API propias del sitio web, cuando accedes a ellas desde tu propia cuenta.

Si tienes dudas sobre si algo es nuestro, pregúntanos antes de probarlo.

Qué Está Fuera del Alcance

No envíes informes sobre:

• Servicios gestionados por otras empresas, como Telegram, Cloudflare, las redes de pago y el widget de chat en vivo. Informa de ellos a sus propietarios.
• Las cuentas y los datos de otros clientes.
• Lo que nuestros verificadores y herramientas gratis están diseñados para hacer, como indicar si un número o una dirección de correo electrónico tiene una cuenta.
• Si una dirección de correo electrónico o un nombre de usuario ya está registrado con nosotros, en las páginas de registro, inicio de sesión o restablecimiento de contraseña.
• Registros de correo (SPF, DKIM, DMARC, BIMI), DNSSEC o CAA que faltan o son débiles, y dominios de apariencia similar.
• Encabezados de seguridad que faltan (CSP, HSTS, X-Frame-Options y similares), indicadores de cookies y ajustes de SSL/TLS como la elección de cifrados, a menos que demuestres un ataque que funcione.
• Nombres de software y números de versión, banners de servidor y archivos públicos como robots.txt, el sitemap o security.txt.
• Claves pensadas para ser públicas, como las claves de CAPTCHA, analítica y cliente de navegador que aparecen en el código fuente de una página.
• Self-XSS, clickjacking o CSRF en páginas sin acciones sensibles, CSRF de cierre de sesión, redirecciones abiertas sin más impacto, tabnabbing e inyección de texto que no ejecuta ningún script.
• Límites de frecuencia en páginas y formularios públicos, incluida la saturación de correos o registros, a menos que permitan a alguien apoderarse de una cuenta o gastar dinero.
• Reglas de contraseñas, duración de la sesión y que la autenticación de dos factores sea opcional o no exista.
• Ataques que requieren acceso físico, un dispositivo rooteado o con jailbreak, un navegador desactualizado o una víctima ya comprometida.
• Phishing, ingeniería social y denegación de servicio.
• Contraseñas y otros datos procedentes de filtraciones de otros sitios, a menos que funcionen en el nuestro.
• Resultados de escáneres automáticos o herramientas de IA sin una prueba que funcione, y consejos de buenas prácticas sin impacto en la seguridad.
• Errores sin impacto en la seguridad y preguntas sobre tu cuenta o facturación. Para ello, usa la página de contacto.

Podemos cerrar los informes sobre estos temas sin responder.

Cómo Hacer Pruebas de Forma Segura

• Usa solo cuentas que hayas creado tú y solo números y direcciones de correo electrónico que sean tuyos o que tengas permiso para usar.
• No leas, cambies ni elimines datos que no sean tuyos. Si accedes a datos de otra persona, detente, no conserves ninguna copia e infórmanos.
• No realices pruebas de denegación de servicio, no satures formularios, no envíes spam ni ralentices el servicio para los demás.
• No intentes engañar a nuestro personal ni a nuestros clientes, y no intentes ataques físicos.
• Si un problema te da saldo o servicios de pago, usa solo lo necesario para demostrarlo e infórmanos para que podamos revertirlo.
• Mantén el problema en privado hasta que esté solucionado y hayamos acordado su divulgación.

Qué Incluir en Tu Informe

• En qué consiste el problema y qué podría hacer un atacante con él.
• La página, la ruta de API o el comando del bot afectados.
• Los pasos para reproducirlo, con capturas de pantalla o una prueba de concepto.
• Cómo contactar contigo y, si lo deseas, el nombre con el que quieres que te mencionemos.

No incluyas datos personales de otras personas en tu informe.

Qué Puedes Esperar de Nosotros

• Confirmamos la recepción de los informes dentro del alcance en un plazo de 5 días laborables.
• Comprobamos el problema y te decimos si podemos reproducirlo y cuáles son los siguientes pasos.
• Te informamos de los avances mientras trabajamos en ello y te avisamos cuando esté solucionado.
• Si lo deseas, te mencionamos cuando escribimos sobre la solución.

Puerto Seguro (Safe Harbor)

Si actúas de buena fe y sigues esta política, consideramos que tu investigación está autorizada. No emprenderemos acciones legales contra ti ni te denunciaremos a las autoridades por ello. Si un tercero emprende acciones contra ti por este motivo, dejaremos claro que actuaste conforme a esta política.

Esto solo cubre los sistemas propios de TalismanLeads. No podemos autorizar pruebas en los sistemas de nadie más. Si tienes dudas sobre si algo está permitido, pregúntanos primero.

Divulgación Pública

Danos un tiempo razonable para solucionar un problema antes de publicar nada sobre él. Nuestro objetivo es resolver los problemas confirmados en un plazo de 90 días, y acordaremos una fecha contigo. Algunos problemas llevan más tiempo y te avisaremos si es el caso del tuyo.

Recompensas

Este es un programa de divulgación, no un programa de bug bounty, por lo que no pagamos por los informes. Agradecemos tu ayuda y nos alegra mencionarte por ella. Los informes que piden un pago antes de compartir los detalles se cierran sin respuesta.

Una vez corregido el problema, también podemos mencionarte en nuestro Salón de la Fama, junto con lo que encontraste. Solo te mencionamos con tu permiso, y puedes pedirnos que eliminemos tu entrada en cualquier momento.