Política de divulgación de vulnerabilidades

Cómo reportar una vulnerabilidad en Obok, AgentMetal, AI SDR o www.inbest.cloud: alcance, tiempos de respuesta, protección legal y asignación de CVE.

Si encontraste una vulnerabilidad en alguno de nuestros productos, queremos saberlo. Esta política explica qué puedes probar, cómo reportarlo y en cuánto tiempo respondemos.

Reporta vulnerabilidades a: [email protected]

Alcance

  • Obok: la plataforma SaaS de FinOps que opera iNBest.
  • AgentMetal: el servicio en agentmetal.dev y api.agentmetal.dev, y el paquete de npm @agentmetal/mcp.
  • AI SDR: el servicio en aisdr.inbest.cloud.
  • www.inbest.cloud: este sitio web.

Fuera de alcance

  • Ambientes de nuestros clientes, aunque iNBest los administre. No los pruebes sin autorización escrita de su dueño.
  • AWS, Microsoft Azure y Google Cloud como plataformas. Reporta esas vulnerabilidades directamente al proveedor.
  • Servicios de terceros que usamos, como HubSpot en blog.inbest.cloud. Repórtalos a ese proveedor.
  • Denegación de servicio (DoS o DDoS) y pruebas de carga.
  • Ingeniería social, phishing y acceso físico a oficinas o personal de iNBest.

Cómo reportar

Escribe a [email protected] en español o inglés. Incluye:

  • El producto y la URL, endpoint o versión del paquete afectado.
  • El tipo de vulnerabilidad y su impacto: qué puede lograr un atacante.
  • Los pasos para reproducirla, con solicitudes, capturas o una prueba de concepto.
  • Cómo quieres aparecer en los créditos, o si prefieres quedar en el anonimato.

Si durante la prueba viste datos personales de otras personas, descríbelos sin copiarlos en el reporte.

Tiempos de respuesta

  • Acuse de recibo: en 3 días hábiles o menos.
  • Triage: en 10 días hábiles o menos te decimos si la vulnerabilidad es válida y qué severidad le asignamos.
  • Corrección: buscamos corregir cada vulnerabilidad confirmada en 90 días o menos. Si necesitamos más tiempo, te avisamos y acordamos contigo una fecha de divulgación.

Te avisamos del avance hasta que la corrección esté publicada. Te pedimos no divulgar la vulnerabilidad antes de que esté corregida o de que pasen 90 días desde tu reporte, lo que ocurra primero, salvo que acordemos otra fecha.

Protección para investigación de buena fe

Si actúas de buena fe y sigues esta política, consideramos tu investigación autorizada. No emprenderemos acciones legales en tu contra por ella ni pediremos a las autoridades que lo hagan. Si un tercero inicia acciones por tu investigación, haremos saber que actuaste conforme a esta política. Actuar de buena fe significa:

  • Probar solo con cuentas propias o de prueba.
  • No acceder, modificar ni borrar datos de otros usuarios más allá de lo necesario para demostrar el problema.
  • Detenerte y reportar en cuanto confirmes la vulnerabilidad.
  • No degradar el servicio para otros usuarios.
  • No pedir pago a cambio de no divulgar.

Créditos

Con tu permiso, te damos crédito con tu nombre o alias en el aviso de seguridad correspondiente, publicado en www.inbest.cloud/seguridad/avisos. Hoy no tenemos un programa de recompensas económicas.

Identificadores CVE

iNBest asigna identificadores CVE a las vulnerabilidades confirmadas en sus productos y publica cada una como aviso en www.inbest.cloud/seguridad/avisos.