¿Has encontrado un fallo de seguridad? Preferimos que nos lo cuentes tú.
Escríbenos con este formulario. No hay ninguna dirección que copiar: tu aviso llega al equipo de Trupeo, etiquetado como aviso de seguridad. Puedes escribir en inglés o en francés.
Tu aviso
Todos los campos son obligatorios, salvo tu organización.
Se envía con la etiqueta: Un fallo de seguridad.
Aviso enviado.
Gracias. Te confirmaremos la recepción en en un plazo de 5 días hábiles.
Qué pasa después.
ALK Innovations, la empresa que hay detrás de Trupeo, es un equipo pequeño. Esto es lo que puedes esperar de ella.
- En 5 días hábiles
Confirmamos la recepción
Confirmamos la recepción de cada aviso en un plazo de 5 días hábiles. Puede que esa confirmación sea el único mensaje que recibas hasta que se resuelva el problema.
- Una vez decidido
Te mantenemos al tanto
Te diremos cuándo está corregido y, si decidimos no corregirlo, te explicaremos por qué.
- Sin noticias
Vuelve a enviarlo
Si no sabes nada de nosotros en un plazo de 10 días hábiles, da por hecho que tu aviso no llegó y vuelve a enviarlo.
Por ahora no tenemos un programa de recompensas por fallos.
El alcance.
Qué entra en el alcance
- app.trupeo.com: la aplicación y su API en /api/.
- trupeo.com y www.trupeo.com: este sitio web.
- Los procesos que recogen y ordenan los correos de los buzones, en la medida en que puedas llegar a ellos a través del producto.
Qué queda fuera del alcance
Cerramos estos avisos sin corrección:
- Resultados de un escáner automático sin impacto demostrado.
- Cabeceras de seguridad que faltan en endpoints que no sirven contenido autenticado.
- Denegación de servicio por volumen, eludir los límites de peticiones con muchas direcciones de origen, o cualquier cosa que exija acceso físico al dispositivo de alguien.
- Ingeniería social dirigida al personal de ALK Innovations o a las personas que usan Trupeo.
- Vulnerabilidades de un tercero del que depende Trupeo: comunícaselas a ese tercero, y avísanos también si la configuración de Trupeo permite explotarlas.
- Cualquier cosa que exija que alguien ya haya instalado malware o haya entregado su contraseña.
Reglas para hacer pruebas de seguridad
Lo que te pedimos a cambio del compromiso escrito arriba, en Antes de enviar.
Volver al compromiso- Haz las pruebas con cuentas tuyas. Cualquiera puede crear una cuenta de Trupeo en app.trupeo.com, con 30 días de prueba gratis y sin tarjeta. No necesitas acceder a datos de otras personas: si lo haces, la investigación deja de considerarse de buena fe y queda fuera del alcance.
- No hagas pruebas de carga ni de estrés, y no cambies ni borres datos que no hayas creado tú.
- Si demostrar el fallo supusiera leer el buzón de otra persona, detente en cuanto hayas demostrado que podrías hacerlo y cuéntanoslo.