En Simbase, nos comprometemos a mantener la seguridad de nuestros sistemas y los datos de nuestros clientes. Proporcionamos servicios globales de conectividad IoT y comprendemos la importancia crítica de salvaguardar nuestra plataforma desarrollada internamente, en la que confían nuestros clientes para gestionar sus dispositivos. Contamos con un programa de divulgación responsable y un programa activo de recompensas por fallos para recompensar a los investigadores de seguridad que nos ayudan a identificar y corregir vulnerabilidades.
Nuestro compromiso
Supervisamos y mejoramos continuamente nuestras medidas de seguridad para garantizar la integridad y fiabilidad de nuestros servicios. Si crees que has encontrado una vulnerabilidad de seguridad en nuestra plataforma, te animamos a que nos lo comuniques discretamente, y nos comprometemos a investigar todos los informes legítimos con prontitud y a fondo.
Cómo informar de una vulnerabilidad de seguridad
Si ha descubierto un posible problema de seguridad, compártalo con nosotros siguiendo estos pasos:
Envíe sus conclusiones a security@simbase.com.
Incluya información suficiente para reproducir el problema, de modo que podamos resolverlo lo antes posible. Las vulnerabilidades complejas pueden requerir más explicaciones que las menos complejas.
Comuníquenos la vulnerabilidad de forma confidencial y no la comparta con otras personas hasta que hayamos tenido la oportunidad de abordarla.
Revelación de seguridad: Nuestra información de contacto de seguridad está publicada en simbase.com/.well-known/security.txt de conformidad con el RFC 9116, que también puede utilizarse para notificar vulnerabilidades de seguridad.
Nuestra promesa
Acusaremos recibo de su informe de vulnerabilidad en un plazo de 32 horas.
Nos comunicaremos con usted para comprender el alcance de la vulnerabilidad y trabajaremos con usted para validar y resolver el problema.
Trataremos su informe con estricta confidencialidad y no compartiremos sus datos personales con terceros sin su permiso.
Le mantendremos informado de nuestros progresos durante las fases de investigación y resolución.
Nuestro objetivo es resolver cualquier vulnerabilidad verificada en un plazo razonable y publicaremos una actualización lo antes posible.
Programa de recompensas por fallos
Simbase recompensa los informes de vulnerabilidades de seguridad válidos y cualificados a través de nuestro programa de recompensas por fallos. Trabajamos con investigadores de seguridad de todo el mundo para identificar y resolver problemas de seguridad. Los informes aceptados pueden optar a recompensas monetarias y reconocimiento adicional.
Alcance
Ámbito de aplicación
Las siguientes áreas son elegibles para las recompensas de bug bounty:
simbase.com y todos los subdominios (excluidos los servicios alojados por terceros)
API REST puntos finales y mecanismos de autenticación
Cuadro de mandos y sistemas de gestión de cuentas
Sistemas de autenticación (SSO, OAuth, claves API, validación de tokens)
Infraestructura IoT (protocolos de comunicación de dispositivos, seguridad de la red, transmisión de datos)
Fuera del ámbito de aplicación
Las siguientes cuestiones son no elegibles para recompensas:
Resultados de herramientas automatizadas o exploraciones sin validación manual
Aplicaciones, servicios o dispositivos de terceros que interactúan con nuestra plataforma
Vulnerabilidades de denegación de servicio (DoS, DDoS)
Aplicaciones móviles (a menos que se incluyan explícitamente en un programa de recompensas específico)
Ataques dirigidos a clientes o usuarios finales de Simbase (no a nuestros sistemas)
Bypass limitador de velocidad sin impacto demostrable
Faltan cabeceras de seguridad HTTP sin impacto explotable
Problemas de configuración de SPF, DKIM o DMARC
Vulnerabilidades de inyección de contenidos sin explotabilidad confirmada
Cuestiones que requieren acceso físico a la infraestructura
Ataques de ingeniería social o phishing contra empleados de Simbase
Admisibilidad
Para optar a las recompensas de bug bounty, debe:
No ser empleado actual o antiguo de Simbasecontratista o consultor (en los últimos 6 meses)
No estar situado en una jurisdicción sancionada en caso de restricciones legales
Tener al menos 18 años (o tener el consentimiento de los padres y un permiso escrito del tutor legal)
Cumplir todas las leyes aplicables en su jurisdicción
Sé el primer reportero de la vulnerabilidad (la recompensa va al primer informe válido recibido)
Siga esta política en su totalidad, incluidos los requisitos de confidencialidad
Recompensas
Los informes de vulnerabilidad que cumplan los requisitos recibirán:
Criterios para optar a la recompensa:
La vulnerabilidad no debe haber sido notificada previamente a Simbase.
La vulnerabilidad debe tener un impacto demostrable en la seguridad
El informe debe incluir detalles suficientes para reproducir el problema
El investigador debe seguir esta política en su totalidad
Simbase se reserva el derecho a determinar la gravedad y la elegibilidad de la recompensa.
Clasificación de la gravedad (para el contexto):
Crítico: Ejecución remota de código, evasión de autenticación, acceso a datos sensibles de clientes
Alta: Escalada de privilegios, exposición significativa de datos, IDOR con acceso a datos sensibles
Medio: XSS almacenado, CSRF en acciones sensibles, revelación de información de sistemas internos
Bajo: XSS reflejado con impacto limitado, mensajes de error verbose, fugas de información menores.
Nota: Simbase se reserva el derecho de ajustar las recompensas en función de la gravedad y el impacto. Los informes de gravedad baja o informativa pueden recibir acuse de recibo sin recompensa.
Puerto seguro
Los investigadores de seguridad que sigan esta política de buena fe están protegidos por nuestra disposición de puerto seguro:
Nosotros no emprender acciones legales contra usted por investigaciones de seguridad realizadas conforme a esta política
Consideramos que la investigación autorizada que se adhiere a esta política es legal según los estatutos legales aplicables
Le rogamos que abstenerse de cualquier actividad que pueda perjudicar a Simbase o a nuestros clientesentre otros:
Violación de la intimidad o acceso no autorizado a datos personales
Destrucción o corrupción de datos
Interrupción o degradación de los servicios
Sobreexplotación de vulnerabilidades más allá de lo necesario para demostrar el impacto
Divulgación pública antes de que hayamos tenido una oportunidad razonable de parchear (mínimo 90 días)
Simbase se dedica a trabajar con la comunidad de seguridad para encontrar y solucionar problemas de seguridad en nuestros servicios. Juntos, podemos mantener nuestro ecosistema digital compartido seguro y protegido.
Póngase en contacto con
Para informes sobre vulnerabilidades de seguridad o preguntas sobre esta política:
Agradecemos su divulgación responsable y su contribución a la seguridad de la plataforma Simbase.
