Divulgación coordinada de vulnerabilidades¶
Alcance¶
HodeiShield (la consola en app.hodeishield.com, la documentación, la API pública y los endpoints MCP) y los productos que fabrica Hodeitek SL:
- el agente de endpoint de HodeiShield en Linux, Windows y macOS, y sus endpoints de alta (enroll), ingesta (ingest) y actualización (update), que forman parte del tratamiento remoto de datos del producto;
- la herramienta de línea de comandos.
Cómo notificar¶
Escribe a security@hodeitek.com. Es el punto único de contacto para
notificar vulnerabilidades y coincide con el security.txt publicado en cada host
(/.well-known/security.txt). Se aceptan informes en español, inglés, alemán, francés, italiano y
euskera. No se ofrece correo cifrado (PGP).
Los informes sobre el agente de endpoint se envían solo por correo electrónico: el notificador privado de vulnerabilidades de GitHub no se aplica al agente, porque su repositorio es privado. Para los repositorios públicos de la herramienta de línea de comandos también puedes usar el notificador privado de GitHub (pestaña Security del repositorio, Report a vulnerability); el correo sigue siendo válido.
Incluye qué has encontrado, dónde, los pasos para reproducirlo y su impacto probable, y la versión y la plataforma afectadas. No incluyas datos reales de clientes ni claves o tokens reales; detente en cuanto hayas demostrado el problema.
Qué esperar¶
| Paso | Objetivo |
|---|---|
| Acuse de recibo | en 3 días hábiles (objetivo) |
| Primera valoración y severidad | en 10 días hábiles (objetivo) |
| Actualizaciones de estado | al menos cada 14 días hasta resolverlo |
| Corrección y aviso público | coordinado contigo; divulgación pública a los 90 días |
Plazos de corrección¶
Valoramos la severidad con CVSS v3.1 y puedes comentar la valoración. Los plazos para publicar una versión corregida se cuentan desde la primera valoración:
| Severidad | Objetivo de corrección |
|---|---|
| Crítica | 7 días |
| Alta | 30 días |
| Media | 90 días |
| Baja | en la siguiente versión |
Divulgación¶
Te pedimos que mantengas la vulnerabilidad confidencial hasta la publicación del aviso, y acordamos la fecha contigo. La divulgación pública se produce a los 90 días de tu informe. Si para entonces no hay corrección, publicamos el aviso con las medidas de mitigación que conozcamos. Si la vulnerabilidad se explota activamente, podemos publicarla antes, con medidas de mitigación.
Los plazos son objetivos, no garantías contractuales. Las vulnerabilidades confirmadas se corrigen y, cuando procede, se publican: para la herramienta de línea de comandos, como GitHub Security Advisory; para el agente de endpoint, en las notas de versión y en este sitio de documentación (con CVE cuando se asigne). Si una vulnerabilidad se explota activamente o causa un incidente grave, Hodeitek además lo notifica a las autoridades competentes en los plazos legales (Reglamento (UE) 2024/2847, art. 14).
Buena fe¶
Si actúas de buena fe, dentro del alcance, sin vulnerar la privacidad, destruir datos ni degradar el servicio, y nos das un plazo razonable para corregir, Hodeitek no emprenderá acciones legales contra ti por tu investigación.
Fuera de alcance¶
Pruebas de denegación de servicio, ingeniería social contra personal o clientes, ataques físicos e informes producidos solo por escáneres automáticos sin impacto demostrado.
Reconocimiento¶
No hay programa de recompensas. Con tu consentimiento, te citamos públicamente en el aviso.