Seguridad y divulgación responsable

Cómo te protegemos

• Conexiones cifradas: todas las páginas y el portal de clientes usan HTTPS, y se indica a los navegadores que se conecten siempre de forma segura.
• Contraseñas: nunca guardamos contraseñas en formato legible. Están protegidas con un hash unidireccional robusto.
• Acceso del equipo: nuestro equipo inicia sesión a través de una dirección privada con verificación en dos pasos, y cada persona solo ve las partes del sistema que su función requiere.
• Pagos: los pagos con tarjeta y PayPal los procesa PayPal. Nunca vemos ni guardamos el número completo de tu tarjeta.
• Monitorización: vigilamos errores y ataques las 24 horas, bloqueamos automáticamente el tráfico abusivo y mantenemos un registro de actividad de las acciones importantes de las cuentas.
• Tus archivos: los archivos que compartes con nosotros se mantienen privados y solo están disponibles para ti y para nuestro equipo tras iniciar sesión.

Informar de una vulnerabilidad

Si crees que has encontrado una vulnerabilidad de seguridad en zeyweb.com o en nuestro portal de clientes, escribe a security@zeyweb.com. Confirmaremos la recepción de tu informe en un plazo de 3 días hábiles y te mantendremos informado hasta que se resuelva.

Nuestros datos de contacto para investigadores de seguridad también están publicados en /.well-known/security.txt.

Qué incluir

• La página o función afectada y el tipo de problema.
• Pasos claros para reproducirlo, con capturas de pantalla o un vídeo corto si es posible.
• El impacto que crees que tiene.
• Cómo podemos contactarte si tenemos preguntas.

Puerto seguro

No emprenderemos acciones legales contra ti por investigaciones realizadas de buena fe conforme a esta política. Por favor:

• Usa solo cuentas de tu propiedad o cuentas de prueba, y nunca accedas, modifiques ni elimines datos de otras personas.
• Detente e informa en cuanto encuentres un problema, sin seguir explotándolo.
• Evita cualquier acción que pueda interrumpir nuestro servicio, como escaneos automatizados intensivos.
• Danos un plazo razonable para corregir el problema antes de compartir los detalles públicamente.

No tenemos un programa de recompensas por errores (bug bounty) remunerado, pero si lo deseas, estaremos encantados de agradecértelo públicamente una vez corregido un problema válido.

Fuera del alcance

• Ataques de denegación de servicio, spam e ingeniería social dirigida a nuestro equipo o a nuestros clientes.
• Ataques físicos y cualquier cosa relacionada con nuestras oficinas o centros de datos.
• Sitios web y servicios gestionados por otras empresas, como PayPal, Google o Mailgun. Infórmales directamente a ellos.
• Resultados de escáneres automáticos sin un impacto de seguridad demostrado.