En WPDeluxe nos tomamos la seguridad en serio. Si has encontrado una vulnerabilidad de seguridad en este sitio web, o en cualquiera de los plugins o temas que desarrollamos, agradecemos que nos lo comuniques de forma responsable antes de hacerlo público.
Alcance
Esta política cubre este sitio web y todos los plugins y temas propios desarrollados por esta empresa, incluidos los distribuidos a través de WordPress.org o instalados directamente en sitios de clientes.
Cómo reportar
Escríbenos a security@wpdeluxe.es. Incluye, si es posible:
- Descripción de la vulnerabilidad y su impacto potencial.
- Producto y versión afectados (plugin, tema o URL concreta).
- Pasos para reproducirla o una prueba de concepto (PoC).
- Cualquier información adicional que ayude a entenderla y corregirla.
No limitamos el canal a formularios automáticos: si prefieres explicarlo por email en lenguaje natural, es perfectamente válido.
Qué puedes esperar de nosotros
Confirmaremos la recepción de tu reporte en un plazo máximo de 3 días hábiles. Investigaremos el caso, te mantendremos informado del progreso y te avisaremos cuando la corrección esté disponible. Nuestro objetivo es resolver las vulnerabilidades confirmadas con la mayor celeridad posible, priorizando según su gravedad.
Compromiso de puerto seguro (safe harbor)
Si actúas de buena fe y dentro de los límites de esta política, no emprenderemos acciones legales contra ti por tu investigación. Esto incluye:
- Limitarte a lo estrictamente necesario para demostrar la vulnerabilidad, sin explotarla más allá de una prueba de concepto.
- No acceder, modificar ni eliminar datos que no sean tuyos, ni interrumpir el servicio para terceros (nada de pruebas de denegación de servicio en producción).
- No divulgar públicamente la vulnerabilidad hasta que hayamos tenido oportunidad razonable de corregirla (recomendamos un plazo de coordinación de 90 días, ampliable de mutuo acuerdo si el caso lo requiere).
- Respetar la privacidad de nuestros clientes y usuarios finales.
Fuera de alcance
Ingeniería social contra nuestro personal o clientes, ataques físicos a nuestras instalaciones, spam, y cualquier prueba que afecte a la disponibilidad de sitios de producción de clientes sin autorización previa.
Reconocimiento
Si lo deseas, y con tu permiso, podemos incluir tu nombre en un agradecimiento público una vez resuelta la vulnerabilidad.