Un canal público y un proceso que funciona para los informes de vulnerabilidades que llegan de fuera: política, security.txt, recepción, triaje y divulgación coordinada.
Tarde o temprano, alguien de fuera de la empresa encuentra una vulnerabilidad en su producto. Lo que ocurre después depende de si encuentra una dirección a la que escribir y de si alguien responde. Cuando no hay canal, el informe acaba en el buzón de soporte, en las redes sociales o en ninguna parte.
Un programa de divulgación es el mínimo: una política publicada que explica cómo notificar y qué puede esperar quien notifica, un buzón que alguien lee y un proceso que lleva un informe desde su recepción hasta la corrección. No paga recompensas ni necesita una plataforma. El Reglamento de Ciberresiliencia de la UE hace obligatoria una política de divulgación coordinada para los fabricantes de productos con elementos digitales: la notificación de las vulnerabilidades explotadas activamente se aplica desde el 11 de septiembre de 2026, y el conjunto completo de obligaciones, desde el 11 de diciembre de 2027.
01Alcance
Qué ponemos a prueba
Política de divulgación: alcance, reglas, puerto seguro (safe harbour), plazos de divulgación
security.txt conforme a RFC 9116, con vigilancia de su fecha de caducidad
Canal de recepción: buzón o formulario dedicado, clave de cifrado, acuse de recibo
Procedimiento de triaje: reproducción, valoración de la gravedad, deduplicación
Gestión interna conforme a ISO/IEC 30111: asignación de cada caso, plazos, escalado
Comunicación con quienes notifican y publicación coordinada
Avisos de seguridad e identificadores CVE para las vulnerabilidades de sus productos
Obligaciones de notificación según el Reglamento de Ciberresiliencia y NIS2, cuando sean aplicables
02Enfoque
Cómo se realiza el trabajo
01
Política
Redactamos la política con su equipo jurídico. La redacción del puerto seguro sigue el texto que reconoce la comunidad de investigadores, adaptado a su jurisdicción por sus abogados.
02
Canal
El canal de recepción y el security.txt se configuran y se prueban desde fuera, tal como los encontraría un investigador.
03
Proceso
Los roles, los plazos y el escalado se ponen por escrito y se ensayan con un informe de prueba antes de publicar la política.
04
Gestión
Si lo desea, gestionamos la recepción: acusamos recibo, reproducimos, valoramos y entregamos los informes confirmados a sus ingenieros.
Alguien nos ha enviado un informe de vulnerabilidad y pide dinero. ¿Qué hacemos?
No pague bajo presión ni amenace. Acuse recibo, pida los detalles técnicos y verifique lo que se afirma. La mayoría de los informes no solicitados proceden de investigadores que actúan de buena fe, algunos son ruido automatizado y unos pocos son extorsión. Verificamos el informe, evaluamos su gravedad y le ayudamos a responder; solicítelo a través del formulario de este sitio e indique que hay un informe pendiente.
¿Qué diferencia hay entre un programa de divulgación y un bug bounty?
Un programa de divulgación recibe informes y promete un trato justo. Un bug bounty añade el pago y, con ello, invita a buscar activamente. El primero es un mínimo para toda empresa con un producto en internet; el segundo es una decisión de presupuesto y de preparación.
¿Nos expone a algún riesgo una cláusula de puerto seguro?
Le compromete a no emprender acciones contra las personas que cumplen sus reglas. No autoriza nada fuera de esas reglas ni vincula a terceros ni a la fiscalía. Sus abogados revisan el texto antes de su publicación.