Informar de una vulnerabilidad

Política de divulgación coordinada de vulnerabilidades. Última actualización: 08/10/2026.

Traducción de cortesía; solo las versiones alemana e inglesa son vinculantes.

1. Objeto

En Frederich Engineering, la seguridad va antes que la velocidad y las funciones. Si encuentra una vulnerabilidad en alguno de nuestros productos o servicios, queremos saberlo para corregirla rápidamente. Esta política explica cómo informar, qué puede esperar de nosotros y qué reglas se aplican a sus pruebas.

2. Alcance

• Klarfeed Cloud (klarfeed.app) y el sitio web de Klarfeed (klarfeed.com)
• el generador de contraseñas Klarpass (klarpass.app)
• el software de Frederich Engineering que vendemos o publicamos (p. ej. Klarfeed autoalojado), en su versión actual
• nuestro sitio web corporativo frederich-engineering.com

Fuera del alcance: los servicios de terceros que utilizamos (p. ej. Stripe, Hetzner, nuestro proveedor de correo electrónico) -- infórmeles directamente a ellos -- y los feeds y sitios web de terceros que se muestran en Klarfeed.

3. Cómo informar

Envíe un correo electrónico a security@frederich-engineering.com, a ser posible con:

• el producto o servicio afectado y la versión o URL,
• una descripción de la vulnerabilidad y su impacto,
• los pasos para reproducirla (prueba de concepto),
• su nombre o seudónimo si desea que le mencionemos.

Por favor, escriba en alemán o en inglés. Cifre los detalles confidenciales con nuestra clave PGP (RSA 4096, válida hasta el 30/06/2027), huella digital:
2D28 1AA4 8156 6C99 B747 6DEB 7E91 8184 7FC9 FEFE

4. Qué puede esperar de nosotros

Somos una empresa pequeña y solo prometemos lo que podemos cumplir:

• Acuse de recibo en un plazo de 3 días hábiles.
• Primera evaluación (confirmada / no reproducible / no es un problema de seguridad) en un plazo de 10 días hábiles.
• Le mantenemos informado del estado de la corrección.
• Corrección: las vulnerabilidades críticas lo antes posible; objetivo para toda vulnerabilidad confirmada: 90 días como máximo.
• Divulgación: coordinada con usted; por defecto tras la corrección y, como muy tarde, 90 días después de su informe, salvo que acordemos otra cosa. Si lo desea, le mencionamos como descubridor.
• Cuando proceda, solicitamos un identificador CVE.
• Cumplimos nuestras obligaciones legales de notificación, en particular conforme al Reglamento de Ciberresiliencia de la UE (Cyber Resilience Act).

Actualmente no pagamos recompensas (no hay programa de bug bounty).

5. Reglas para las pruebas y nuestro compromiso

Si actúa de buena fe y respeta estas reglas, no presentaremos denuncia penal ni emprenderemos acciones civiles contra usted. No podemos hablar en nombre de terceros (p. ej. autoridades), pero, si lo solicita, confirmaremos que sus pruebas se ajustaron a esta política.

• Pruebe solo con sus propias cuentas y sus propios datos. Para Klarfeed Cloud puede pedirnos un acceso de prueba.
• No acceda a datos de otros usuarios. Si aun así se los encuentra: deténgase de inmediato, no los guarde ni los comparta, e infórmenos.
• Ninguna prueba que perjudique el servicio (denegación de servicio, pruebas de carga, solicitudes masivas, spam).
• Nada de ingeniería social, phishing ni acceso físico; ningún ataque a nuestro personal, proveedores o empresas de alojamiento.
• Explote una vulnerabilidad solo en la medida necesaria para demostrarla; sin puertas traseras ni cambios permanentes.
• Publique detalles solo después de coordinarlo con nosotros (sección 4).

6. Lo que normalmente no tratamos como vulnerabilidad

• informes de escáneres automáticos sin impacto demostrado
• cabeceras de seguridad o atributos de cookies ausentes sin un ataque concreto
• self-XSS, clickjacking en páginas sin acciones relevantes para la seguridad
• observaciones sobre SPF/DKIM/DMARC, banners e indicaciones de versión
• denegación de servicio por puro volumen
• ataques que requieren un dispositivo ya comprometido o acceso físico

En caso de duda, infórmenos igualmente.