Seguridad y notificación de vulnerabilidades

Nuestra postura

Damos la bienvenida a los informes de vulnerabilidades de investigadores de seguridad de buena fe. Para ayudar a mantener seguros HearRelay y sus servicios asociados, te pedimos que practiques una divulgación responsable. Esta política establece el alcance que te pedimos que respetes y cómo responderemos.

Cómo notificar

Si descubres una vulnerabilidad, escribe a la dirección específica que figura al final de esta página. Los datos de contacto válidos para todo el sitio también se publican en /.well-known/security.txt (RFC 9116). En la medida de lo posible, incluye:

• La función, la versión y el sistema operativo afectados
• Los pasos para reproducirla (adjunta una prueba de concepto si la tienes)
• El impacto previsto
• Cómo contactar contigo

Dentro del alcance

• La propia aplicación de iOS / iPadOS HearRelay
• Las páginas de conex-cp.com relacionadas con HearRelay

Fuera del alcance

Lo siguiente queda fuera del alcance de esta política:

• La ingeniería social, la intrusión física y los ataques contra nuestro personal o nuestros socios
• La denegación de servicio (DoS / DDoS), el spam y los ataques volumétricos
• Las vulnerabilidades de la infraestructura de Apple (App Store, iCloud, el propio iOS) o de servicios de terceros
• Los problemas que requieren acceso físico al propio dispositivo del usuario y no suponen una amenaza realista

Puerto seguro (safe harbor)

Para la investigación realizada de buena fe y dentro del alcance de esta política, damos la bienvenida a tu trabajo y no emprenderemos acciones legales basadas en esa investigación. Al investigar, evita vulnerar la privacidad, destruir o alterar datos o interrumpir el servicio, y no accedas a datos de terceros. No divulgues una vulnerabilidad a terceros hasta que hayamos tenido una oportunidad razonable de subsanarla (divulgación coordinada).

Cómo respondemos

• Acusaremos recibo en un plazo razonable.
• Validaremos el informe y priorizaremos una corrección según su impacto.
• Compartiremos el estado de la corrección con quien lo notifique, en la medida de lo posible.
• Actualmente no disponemos de un programa de recompensa económica (bug bounty), pero agradecemos tu ayuda.

Nota sobre el diseño

HearRelay está diseñado de modo que el audio nunca se envía a un servidor, la comunicación entre pares está cifrada de extremo a extremo y las conexiones se limitan a la misma red local (consulta la política de privacidad y la página del producto para conocer la intención de diseño). También agradecemos tus observaciones sobre el diseño.