Política de Seguridad
Visión General
Este es un proyecto de Guardia y sigue el proceso de manejo de vulnerabilidades de Guardia Finance.
Guardia toma la seguridad de este proyecto en serio y damos la bienvenida a las divulgaciones responsables de la comunidad. Este documento describe nuestro proceso para reportar, evaluar y responder a vulnerabilidades de seguridad.
Reportando una Vulnerabilidad
Si has descubierto una nueva vulnerabilidad, por favor sigue el proceso de reporte de vulnerabilidades de Guardia.
Canales de Comunicación Seguros
Existen dos canales seguros para la divulgación:
1. GitHub Security Advisories (Preferido)
Puedes reportar una vulnerabilidad privadamente directamente a través de GitHub siguiendo estos pasos:
- Navega a la página principal del repositorio
- Haz clic en la pestaña Security
- Haz clic en "Report a vulnerability" bajo "Security advisories"
- Completa el formulario con los detalles del problema
2. Email
Alternativamente, puedes contactarnos vía:
Incluye lo siguiente en tu email:
- Una descripción clara de la vulnerabilidad
- Pasos para reproducirla
- Versiones o componentes afectados
- Impacto potencial
- Opcional: Tu clave PGP si prefieres comunicación encriptada
Proceso de Manejo
Nuestro proceso para gestionar vulnerabilidades está alineado con las mejores prácticas de la industria e incluye:
- Triaje y Confirmación – Validamos el problema y evaluamos la gravedad
- Planificación de Remediación – Priorizamos y desarrollamos una corrección
- Divulgación Coordinada – Coordinamos la divulgación pública después de la corrección
- Publicación de Aviso – Emitimos un aviso público incluyendo créditos al reportero
Compromiso con la Seguridad
Guardia sigue pautas de seguridad que incluyen:
- Commits firmados y releases verificados
- Revisiones de código con enfoque en diseño seguro
- Pipelines de CI/CD con escaneo automatizado de vulnerabilidades
- Principios de privilegios mínimos
- Monitoreo continuo de dependencias
Declaración de Divulgación Responsable
Agradecemos los esfuerzos de la comunidad para mejorar nuestra postura de seguridad. Por favor, evita la divulgación pública de cualquier vulnerabilidad antes de que tengamos la oportunidad de responder. Estamos comprometidos con una colaboración transparente y respetuosa con los investigadores de seguridad.