Informar de un problema de seguridad

Si encuentra una vulnerabilidad en el software de AiSSAY o en este sitio web, díganoslo primero en privado. Preferimos saberlo por usted que descubrirlo más tarde.

Cómo informar

Escriba a hello@aissay.io con “Security report” en el asunto.

Incluya, por favor:

• qué encontró y dónde: el módulo, el comando o la página;
• los pasos para reproducirlo y la versión que probó (el archivo VERSION de la versión publicada);
• qué podría hacer un atacante con ello;
• cómo le gustaría que se le reconociera, si es que lo desea.

A qué nos comprometemos

• Acusamos recibo de su informe en un plazo de cinco días hábiles.
• Le decimos si podemos reproducirlo y qué gravedad creemos que tiene.
• Le damos una respuesta honesta sobre si se corregirá y cuándo, incluido “no pronto” si esa es la verdad.
• Le damos el reconocimiento en las notas de la corrección si desea que se le reconozca.
• No hay programa de recompensas por errores. No pagamos por los informes.

Divulgación

Le pedimos 90 días desde su informe antes de publicarlo, o menos si la corrección sale antes. Si necesitamos más tiempo, le explicaremos por qué y se lo pediremos. Cuando sale una corrección, explicamos en las notas de la versión qué fallaba.

Investigación de buena fe

Si sigue esta política, prueba solo en su propia instalación y se detiene una vez que ha demostrado un problema, no trataremos su investigación como un ataque ni pediremos a nadie que actúe contra usted por ello.

Dentro del alcance

• El software de AiSSAY: el almacén de evidencias, el proxy de grabación, el servidor MCP, la extensión del navegador y su host nativo, los recibos y su verificador.
• Este sitio web, aissay.io.

Fuera del alcance

• Las pruebas contra un almacén que contenga registros reales de otras personas. Use su propia instalación y datos inventados.
• Las pruebas de denegación de servicio, la ingeniería social y los ataques físicos.
• Los sistemas que no gestionamos: su proveedor de IA, su gestor de claves, su alojamiento.

Lo que ya decimos sobre nuestros límites

Publicamos lo que nuestro software todavía no hace: las páginas de marcos normativos señalan cada carencia, y el resumen de cumplimiento y gobernanza enumera lo que está construido, lo que es un punto de integración y lo que falta. Ninguna empresa externa ha probado todavía este software. Un informe suyo es la primera mirada independiente que recibe.