Investigación de buena fe
Cómo reportar un posible fallo sin dañar datos, disponibilidad ni a otras personas.
Versión 2026-09-01
Fecha de publicación: 1 de septiembre de 2026.
Proveedor: CORPORATIVO FORTOXLos reportes pueden enviarse al canal público de soporte. Cualquier prueba debe limitarse a los activos expresamente incluidos en el alcance publicado y respetar esta política.
Las personas autenticadas también pueden abrir un ticket desde el panel para reportar una observación.
La investigación de buena fe debe limitarse a cuentas y datos propios, usar la menor interacción necesaria, detenerse al demostrar el impacto y evitar persistencia. No debe descargar, modificar, destruir ni divulgar datos de terceros.
Encontrar una credencial o dato ajeno obliga a detenerse, no usarlo y reportar únicamente la información mínima para localizarlo.
No se autorizan, incluso si se pretende investigar seguridad:
Un reporte útil incluye activo y URL, tipo de vulnerabilidad, pasos reproducibles mínimos, impacto observado, fecha, identificador de cuenta de prueba y evidencia redactada. No debe adjuntar secretos reales, bases completas ni información personal innecesaria.
El reportante debe indicar cómo recibir respuesta y posibles conflictos de divulgación. GoHosting puede solicitar aclaraciones sin exigir pruebas destructivas.
GoHosting acusará recibo, clasificará el riesgo, reproducirá de forma segura, contendrá, corregirá y validará. Los tiempos de atención dependen de la gravedad y complejidad del reporte.
El estado puede cambiar durante la investigación. Cerrar un reporte exige evidencia de corrección o una explicación documentada de por qué no representa una vulnerabilidad.
La fecha y contenido de una divulgación se coordinan considerando corrección, actualización de clientes, explotación activa y dependencias. GoHosting no pedirá ocultamiento indefinido, pero puede solicitar un plazo razonable para reducir daño.
La publicación no debe incluir datos personales, secretos ni instrucciones que faciliten una explotación activa.
No existe recompensa económica, programa de bug bounty ni reconocimiento garantizado salvo publicación expresa posterior. Un reporte voluntario no crea relación laboral, profesional ni derecho de acceso.
Los datos del reportante se usan para investigar, comunicar y conservar evidencia durante el plazo necesario. Una investigación que exceda el alcance, cause daño o busque beneficio mediante amenaza puede remitirse a la autoridad competente.