Política de divulgación de vulnerabilidades

Introducción

En GGWP, Inc., nuestra misión es fomentar comunidades de videojuegos seguras e inclusivas. Nos tomamos muy en serio la seguridad de nuestros algoritmos de moderación de contenido, los datos de nuestros clientes y la privacidad de los jugadores.

Reconocemos que la comunidad de seguridad cumple un papel fundamental en la construcción de un internet más seguro. Valoramos las contribuciones de investigadores de seguridad, hackers éticos y miembros de la comunidad de videojuegos que nos ayudan a identificar y resolver problemas de seguridad. Si crees haber encontrado una vulnerabilidad de seguridad en nuestra plataforma, API o SDK, te invitamos a informarnos lo antes posible.

Puerto seguro (protección legal)

Consideramos que la investigación de seguridad y la divulgación de vulnerabilidades son conductas «autorizadas» conforme a la Ley de Fraude y Abuso Informático (CFAA), la DMCA y otras leyes aplicables contra el acceso informático ilícito, siempre que cumplas con esta política.

Nos comprometemos a no iniciar ni apoyar acciones legales en tu contra por incumplimientos accidentales y de buena fe de esta política.

Sin embargo, esta protección de puerto seguro no cubre:

• Exigencia de rescate o extorsión: Exigir un pago a cambio de no divulgar o de corregir la vulnerabilidad.
• Fraude: Usar una vulnerabilidad para engañar a nuestro sistema, empleados o clientes con el fin de obtener un beneficio económico.
• Exfiltración de datos: Acceder, descargar o transferir intencionalmente más datos de los estrictamente necesarios para demostrar una prueba de concepto.
• Acciones maliciosas: Cualquier actividad destinada a comprometer la integridad o disponibilidad de nuestros servicios (por ejemplo, destruir datos o mantener malware de forma persistente).

Alcance

Activos dentro del alcance

Te pedimos que centres tus pruebas en los activos que son propiedad de GGWP, Inc. y que esta opera:

• Aplicaciones web: dashboard.ggwp.com
• Endpoints de API: api.ggwp.com
• SDK de cliente: SDK oficiales de GGWP, Inc. para Unity y Unreal

Activos restringidos (requieren autorización)

• Modelos de moderación e IA: Las pruebas de inversión de modelos, extracción de datos de entrenamiento o ataques adversarios contra nuestros modelos de aprendizaje automático están estrictamente prohibidas sin consentimiento previo por escrito.

Activos fuera del alcance

• Videojuegos de nuestros clientes: Está estrictamente prohibido realizar pruebas, hackear o interrumpir los videojuegos, servidores o infraestructura de los estudios de videojuegos que utilizan nuestros servicios. Las pruebas deben realizarse sobre nuestras interfaces de API, no sobre el cliente del videojuego.
• Servicios de terceros alojados por proveedores distintos de GGWP, Inc. (por ejemplo, HubSpot o la infraestructura de AWS subyacente al servicio, sin comprometer la capa de aplicación).

Lineamientos y reglas de actuación

Para mantenerte bajo la protección de puerto seguro, debes cumplir lo siguiente:

• No causar daño: No reduzcas el rendimiento de nuestros servicios (por ejemplo, mediante DoS/DDoS) ni interrumpas las funciones de moderación para nuestros clientes.
• Priorizar la privacidad: No accedas, descargues ni modifiques datos almacenados en una cuenta que no te pertenezca. Si encuentras información de identificación personal (PII), registros de chat o grabaciones de voz de otras personas, detente de inmediato y reporta la vulnerabilidad.
• No realizar pivoteo: No uses una vulnerabilidad descubierta para acceder a sistemas internos u otros entornos de clientes.
• Mantener la confidencialidad: No divulgues la vulnerabilidad al público ni a terceros hasta que hayamos tenido un plazo razonable para corregir el problema (consulta los detalles en la sección «Política de divulgación» más adelante).

Exclusiones (vulnerabilidades no elegibles)

Los siguientes problemas generalmente se consideran fuera del alcance, a menos que se demuestre que tienen un impacto significativo en la seguridad:

• Ingeniería social (phishing, vishing) dirigida a nuestros empleados o clientes.
• Ataques contra la seguridad física de nuestras oficinas.
• Errores de UI/UX o de ortografía.
• Falta de limitación de solicitudes (a menos que implique una amenaza grave para la disponibilidad del servicio).
• Ausencia de encabezados de seguridad HTTP (a menos que se demuestre un impacto específico).
• Entradas adversarias a la IA que simplemente generen clasificaciones «incorrectas» (esto es un problema de calidad, no una vulnerabilidad de seguridad, a menos que permita la ejecución de código o la filtración de datos).

Cómo reportar una vulnerabilidad

Tu reporte debe incluir:

• Descripción: La ubicación y la naturaleza de la vulnerabilidad.
• Pasos para reproducirla: Una guía clara paso a paso o un script de prueba de concepto (PoC).
• Impacto: Cómo podría explotarse la vulnerabilidad y qué datos o sistemas están en riesgo.

Nuestro compromiso contigo

Cuando nos reportas una vulnerabilidad, nos comprometemos a:

• Confirmar la recepción: Confirmaremos que recibimos tu reporte en un plazo de 3 días hábiles.
• Revisar: Evaluaremos y priorizaremos el reporte, y confirmaremos la validez de la vulnerabilidad en un plazo de 10 días hábiles.
• Mantener la comunicación: Te mantendremos al tanto de nuestro progreso.

Plazos objetivo de corrección

Nos esforzamos por corregir los problemas según su gravedad. Definimos nuestros objetivos de corrección de la siguiente manera, sujetos a esfuerzos comercialmente razonables:

Política de divulgación

Promovemos la divulgación coordinada de vulnerabilidades. Solo tienes autorización para publicar tus hallazgos cuando:

• Te hayamos notificado que la vulnerabilidad está corregida; O
• Hayan transcurrido 90 días desde tu reporte inicial y no hayamos solicitado una extensión debido a la complejidad de la corrección.

Excepciones a la divulgación estándar

• Divulgación acelerada: Si una vulnerabilidad está siendo explotada activamente en entornos reales (una vulnerabilidad de «día cero»), podemos acordar un plazo de divulgación más corto para alertar a la comunidad.
• Divulgación extendida: Si una vulnerabilidad afecta a un ecosistema complejo (por ejemplo, una dependencia de terceros que requiere una corrección por parte de su proveedor), podemos solicitar una extensión más allá de los 90 días para asegurar que el ecosistema en su conjunto reciba los parches necesarios antes de la divulgación pública.

Recompensas y reconocimiento

Agradecemos profundamente a los investigadores de seguridad que nos ayudan a mantener seguro el ecosistema de videojuegos. Sin embargo, es importante aclarar la naturaleza de nuestro programa para establecer las expectativas adecuadas.

Sin recompensas económicas

Actualmente, este es un programa de divulgación de vulnerabilidades (VDP), no un programa remunerado de recompensas por errores (Bug Bounty). Por el momento, no ofrecemos compensación económica ni recompensas en efectivo por los reportes de vulnerabilidades. Te pedimos que no envíes reportes con la expectativa de recibir un pago ni exijas una compensación como condición para compartir los detalles de una vulnerabilidad.

Nuestro agradecimiento

Aunque no podemos ofrecer recompensas en efectivo, valoramos tu contribución y nos complace ofrecer las siguientes formas de reconocimiento por reportes válidos y de alto impacto:

• Salón de la fama: Con tu permiso, incluiremos tu nombre y un enlace a tu perfil en nuestro Salón de la fama de seguridad.