Seguridad e informacion para clientes
Cómo informar de una vulnerabilidad en un plugin que publicamos, los plazos que procuramos cumplir y los datos de proveedor que necesita un cliente regulado.
Última actualización:
Informar de una vulnerabilidad
Escriba a [email protected] indicando el plugin, la versión y los detalles suficientes para reproducir el problema. La versión legible por máquina de este contacto se publica en plogins.com/.well-known/security.txt conforme al RFC 9116. La política completa de divulgación coordinada, que abarca plogins.com y todos los plugins que publicamos, está en wppoland.com/en/security-policy/. Le rogamos no realizar pruebas en un sitio que no sea suyo.
Nuestros objetivos y plazos
Procuramos acusar recibo de un informe en 2 días hábiles y dar una primera valoración en 5. Ante una vulnerabilidad crítica confirmada en un plugin que publicamos, procuramos publicar un parche o retirar el plugin de la distribución en un plazo de 7 días desde la confirmación, e indicamos cuál de las dos cosas hicimos. Procuramos publicar un aviso en un plazo de 14 días desde el parche. Son objetivos, no garantías contractuales. Si no podemos cumplir alguno, lo decimos y publicamos una solución alternativa en lugar de guardar silencio.
Sin bug bounty, pero con reconocimiento y confirmación escrita
No tenemos programa de bug bounty ni pagamos recompensas; preferimos decirlo con claridad antes que anunciar un programa que no podemos financiar. Si lo desean, reconocemos a quienes informan por su nombre o alias en las notas de versión y en el aviso, y confirmamos por escrito que el informe era válido y qué hicimos al respecto.
Distinguir una versión de seguridad de una de funcionalidades
Una versión de seguridad lo indica expresamente. Su entrada de changelog empieza por Security y una gravedad: critical, high, medium o low, y esa misma versión incluye un aviso de actualización, el texto que WordPress muestra en la fila de actualización del escritorio. Una versión de seguridad contiene solo la corrección, sin funcionalidades añadidas, de modo que puede adoptarse bajo control de cambios sin revisar código no relacionado.
Si es cliente sujeto a NIS2 o a la ley polaca de ciberseguridad
Al publicar plugins somos proveedores de software, una figura que la ley polaca del sistema nacional de ciberseguridad menciona por separado del prestador de servicios, tanto en los requisitos de cadena de suministro TIC como en el mecanismo de proveedor de alto riesgo. Si debe documentarnos en su cadena de suministro, esta página junto con la política de divulgación coordinada es el documento de referencia. A petición confirmaremos los datos por escrito en papel corporativo, incluidas las versiones que utiliza y cuándo se actualizaron por última vez. No podemos presentar notificaciones de incidentes ante las autoridades en su nombre, porque ese deber corresponde a la entidad obligada y no a su proveedor; podemos facilitarle el detalle técnico para su propia notificación, dentro de su plazo, si nos lo indica.
Este documento es información sobre el producto y no sustituye el asesoramiento jurídico individual.