Documentación

Divulgación responsable

Cómo informarnos sobre una vulnerabilidad de seguridad en nuestros sitios web, nuestra API o nuestro servicio de datos, y qué solicitamos a los investigadores.

Borrador. Esta política describe cómo pretendemos gestionar los reportes de vulnerabilidades. Aún están por confirmar la dirección de reporte, nuestros compromisos de respuesta y el texto legal de puerto seguro, y la página será revisada por el asesor jurídico antes de entrar en vigor.

Cómo reportar una vulnerabilidad

Si considera que ha encontrado una vulnerabilidad de seguridad en un sitio web, una API o un servicio de datos de Crown Intelligence, infórmenos de forma privada para que podamos corregirla antes de que sea explotada.

Por proporcionar: El buzón para reportes de seguridad (security@ no está en uso actualmente) y, si se desea, una clave PGP o un formulario de reporte.

Le pedimos que

  • Nos reporte la vulnerabilidad lo antes posible después de encontrarla.
  • Proporcione suficiente detalle para que podamos reproducirla: la dirección o el punto de acceso, los pasos, la solicitud y la respuesta, y el impacto que prevé.
  • Mantenga la vulnerabilidad en confidencialidad hasta que la hayamos corregido y hayamos acordado con usted una fecha de divulgación.
  • Use el acceso mínimo necesario para demostrar el problema y deténgase en cuanto lo haya demostrado.

Le pedimos que no

  • Explote la vulnerabilidad más allá de lo necesario para demostrarla, ni vea, modifique o elimine datos que no sean suyos.
  • Realice pruebas que degraden el servicio para otros usuarios: denegación de servicio, pruebas de carga o escaneos automatizados de gran volumen.
  • Utilice ingeniería social, phishing o ataques físicos contra nuestro personal, nuestras instalaciones o nuestros proveedores.
  • Pruebe servicios de terceros que utilizamos ni a los editores oficiales cuyos datos recopilamos.
  • Envíe spam o resultados de escáneres automatizados sin un problema específico y demostrado.

Qué no se considera una vulnerabilidad en este contexto

  • Los datos son públicos: los registros, las colecciones y los archivos masivos se publican deliberadamente, y consultarlos a través de la API es un uso previsto.
  • La API es abierta actualmente; la ausencia de una clave de API es una decisión documentada, no una falla (consulte Autenticación).
  • Los reportes sobre el contenido de una lista oficial corresponden al editor de la lista o a nuestro proceso de correcciones; consulte Correcciones y exclusión de la lista.
Por proporcionar: Otras exclusiones que el responsable desee incluir (por ejemplo, encabezados ausentes sin un impacto demostrado, o nuestra política sobre el enmarcado de páginas).

Lo que haremos

Por proporcionar: Nuestros compromisos con quienes reportan: en cuánto tiempo acusamos recibo de un reporte y entregamos una evaluación, cómo mantenemos informados a quienes reportan, si les damos crédito, y la declaración legal de puerto seguro para la investigación de buena fe. No debe completarse antes de la revisión del asesor jurídico.

Última actualización 2026-10-03