Política de divulgación responsable

Escribe a security@janusnet.cl con:

• El sistema o la URL afectada
• Qué encontraste y qué impacto puede tener
• Los pasos para reproducirlo
• La evidencia que lo muestra: capturas, solicitudes y respuestas
• Cómo prefieres que te contactemos

No usamos cifrado PGP. Si en tu prueba viste datos personales de otras personas, descríbelos sin copiarlos en el reporte.

Incluido: el sitio janusnet.cl y los subdominios de janusnet.cl que opera JanusNet.

Fuera de alcance:

• Los servicios de terceros que usamos, como Google Workspace, Cloudflare o MailerLite. Si encuentras algo en ellos, repórtalo a su fabricante.
• Los productos de CrowdStrike, que tienen su propio programa de reporte.
• Los sistemas de nuestros clientes. Esta política nunca autoriza a probarlos.
• Hallazgos sin un escenario de explotación realista, como cabeceras ausentes sin impacto demostrable, versiones de software expuestas o reportes que solo vienen de un escáner automático.

• Haz solo lo necesario para demostrar el problema.
• No accedas, modifiques ni borres datos que no son tuyos. Si llegas a datos personales, detente, no los conserves y repórtalo.
• No hagas pruebas de denegación de servicio ni de carga.
• No envíes formularios en volumen ni intentes usar el sitio para mandar correos a terceros.
• No hagas ingeniería social, phishing ni pruebas físicas contra nuestras personas u oficinas.
• Mantén el hallazgo en reserva hasta que esté corregido o hasta que acordemos contigo su publicación.

• Acusamos recibo de tu reporte dentro de 5 días hábiles.
• Te mantenemos al tanto de la evaluación y la corrección.
• Te avisamos cuando esté corregido.
• Si quieres, te damos crédito público con tu nombre o alias.
• Coordinamos contigo cuándo y cómo se publica.

No tenemos un programa de recompensas económicas.

Si investigas de buena fe y dentro de estas reglas, consideramos tu investigación autorizada por esta política y no iniciaremos acciones legales en tu contra por ella. Si una acción tuya no calza con estas reglas, escríbenos antes de seguir.

Esta autorización cubre solo los sistemas de JanusNet que están dentro del alcance. No puede autorizar pruebas sobre sistemas de terceros.

Los datos de contacto también están en /.well-known/security.txt, en el formato del estándar RFC 9116.