Notificar una vulnerabilidad.

Cómo informar

Escribe a security@evmsi.com con suficiente detalle para reproducir el problema. Nos proponemos reconocer los informes dentro de tres días hábiles.

Puerto seguro

Si usted hace un esfuerzo de buena fe para cumplir con esta política durante su investigación, lo consideraremos autorizado, trabajaremos con usted para entender y resolver el problema rápidamente, y no recomendaremos ni buscaremos acción legal.

Alcance

• 01Este sitio web y sus subdominios.
• 02El punto final de contacto en /api/contacto.
• 03Cualquier problema que permita la ejecución del script, la inyección de contenido o el bypass del Content Security Policy.

Alcance

• 01Denegación de servicio, pruebas volumétricas o cualquier actividad que reduzca la disponibilidad para terceros.
• 02Ingeniería social de nuestra gente, socios o proveedores.
• 03Ataques físicos contra nuestras oficinas o personal.
• 04Informes generados únicamente por un escáner automatizado, sin un impacto demostrado.
• 05Desapareciendo cabeceras endurecidas sin un camino de explotación demostrado.

Nuestra postura

Este sitio web utiliza cheques de acceso lado servidor, recopilación limitada de datos y políticas restrictivas del navegador. Sesiones privadas de vista previa y mostradores de abuso se almacenan temporalmente. Los controles de seguridad reducen el riesgo y requieren un examen continuo.

• 01Un Content Security Policy basado en nonce permite scripts de aplicación autorizados y restringe otra ejecución de script.
• 02HTTP Strict Transport Security con una edad máxima de un año para este nombre de host.
• 03Framing denegado directamente a través de ambos fortificadores y X-Frame-Options.
• 04Aislamiento entre los orígenes: políticas de apertura, recurso e incrustación de los mismos orígenes.
• 05Un Permissions-Policy que entrega cada capacidad de dispositivo que el sitio no utiliza, incluso para nuestro propio origen.
• 06Validación lado del servidor, límites de tamaño corporal, comprobación de origen y un presupuesto de envío compartido en el punto final de contacto.
• 07No hay análisis de terceros, gestor de etiquetas, píxel publicitario o grabador de sesión — en cualquier lugar.

Por favor no

Acceso, modificación o eliminación de datos que no sean suyos; degradar el servicio para otras personas; o publicar detalles de un problema no resuelto antes de que hayamos tenido una oportunidad razonable de arreglarlo.

Contacto

EV MULTI-SECTOR INVESTMENT COMPANY LIMITED
security@evmsi.com