Informar de una vulnerabilidad

Esto es una traducción. En caso de discrepancia, prevalecerá la versión italiana.

Si crees que has encontrado una vulnerabilidad en Walkie Desk, queremos saberlo. Esta página es nuestra política de divulgación coordinada: explica cómo informarnos, qué reglas seguir y qué puedes esperar de nosotros.

Cómo informar

Usa el formulario Informar de un problema y elige «Una vulnerabilidad»;
o escribe a security@walkiedesk.app.

De momento no publicamos una clave PGP: si necesitas un canal cifrado para enviarnos los detalles, escríbenos y lo acordamos. Leemos los informes en italiano y en inglés.

Si la vulnerabilidad ya se está explotando, indícalo al principio del mensaje: la tratamos con prioridad y, como exige el Cyber Resilience Act, la notificamos al CSIRT Italia y a ENISA.

Qué incluir

el componente (por ejemplo Walkie Desk para Windows, Mac o Linux, QuickSupport, área de usuario, API) y su versión;
si el problema está en una biblioteca de terceros, cuál y en qué versión (la lista está en Componentes de software);
una descripción del problema y de su impacto;
los pasos para reproducirlo y, si la tienes, una prueba de concepto;
cómo contactarte y si quieres que te mencionemos en el aviso.

No nos envíes datos personales de otras personas que hayas podido ver durante tus pruebas.

Ámbito

Dentro del ámbito

Walkie Desk para Windows, Mac y Linux: instalador o paquetes, servicio, programa de la sesión, aplicación de la bandeja y actualizaciones;
QuickSupport;
las aplicaciones de Walkie Desk para móvil y tableta;
el área de usuario y el visor en el navegador (walkiedesk.app/app/);
las API y la señalización (walkiedesk.app/v1/);
el servidor de coordinación, el servidor de retransmisión (turn.walkiedesk.app) y el sitio web walkiedesk.app.

Fuera del ámbito

ataques de denegación de servicio y pruebas que degradan el servicio para otros usuarios;
ingeniería social dirigida al personal de iDev o a los usuarios, ataques físicos;
vulnerabilidades ya públicas de software de terceros sin un impacto demostrado en Walkie Desk (comunícalas al fabricante);
servicios de otras empresas que usamos, como el pago con tarjeta o el envío de correos electrónicos (comunícalo a ellas);
ataques que requieren el control total del PC o del navegador de la víctima, por ejemplo como administrador del PC;
resultados de escáneres automáticos sin una prueba de impacto;
cabeceras o configuraciones ausentes sin un impacto concreto.

Reglas para las pruebas

Usa solo cuentas y PC propios, o aquellos que tengas autorización para probar.
No accedas a datos de otras personas ni los modifiques o borres: si te encuentras con alguno, detente e infórmanos.
Usa la vulnerabilidad solo lo necesario para demostrarla: no descargues datos, no dejes accesos abiertos y no pases a otros sistemas. Borra los datos que hayas obtenido después de informarnos.
No degrades el servicio (nada de ataques de denegación de servicio ni pruebas de carga) y no envíes spam.
Nada de ingeniería social, phishing ni accesos físicos dirigidos al personal de iDev o a los usuarios.
No hagas pública la vulnerabilidad antes de que esté corregida o antes de la fecha acordada con nosotros.

Plazos orientativos

Acuse de recibo: en un plazo de 5 días laborables
Primera evaluación: en un plazo de 10 días laborables
Corrección de las vulnerabilidades graves: en un plazo de 90 días desde el informe

Te mantenemos al tanto del estado de tu informe y acordamos contigo cuándo hacerlo público. Después de la corrección publicamos un aviso de seguridad.

Buena fe

Si nos informas de una vulnerabilidad de buena fe y respetas esta política, no emprenderemos acciones legales contra ti por tu investigación ni pediremos a las autoridades que lo hagan. Si un tercero actuara contra ti por actividades realizadas conforme a esta política, lo haremos saber.

Reconocimiento

Si lo deseas, te mencionamos con el nombre o el seudónimo que prefieras en el aviso de seguridad de la corrección y en la página Agradecimientos. La mención es opcional. Por ahora no ofrecemos recompensas económicas (bug bounty).

Esta política forma parte de la gestión de vulnerabilidades de Walkie Desk prevista por el Reglamento (UE) 2024/2847 (Cyber Resilience Act). La referencia para las herramientas automáticas es security.txt. Cómo tratamos los datos de los informes: política de privacidad.