1) Alcance y qué lee una auditoría pasiva

Esta política cubre las auditorías que Metrolux Solutions Inc. ("Metrolux", "nosotros") realiza sobre sitios web que no opera, y los reportes que publica a partir de ellas.

Una auditoría pasiva lee solo lo que un sitio ya le entrega a cualquiera. Es decir, el certificado TLS y los encabezados de seguridad que recibe un navegador, los registros DNS y de autenticación de correo que devuelve cualquier resolvedor, las versiones de software que deja ver una página y el contenido de la página: la misma información que ve primero un visitante, un buscador o un atacante.

No sondeamos, no escaneamos ni intentamos acceder a nada. El límite está ahí porque todo lo que queda de este lado ya es público.

2) El dueño ve los hallazgos primero

El dueño del sitio auditado recibe los hallazgos antes de que se publique nada. Un hallazgo le sirve más a la empresa que puede corregirlo que a quien lo lee.

3) Treinta días para corregir

La publicación espera 30 días desde que el dueño recibe los hallazgos. Buena parte de lo que encuentran estas auditorías es un certificado vencido, un registro de correo que falta o un enlace roto, y cada uno se resuelve en pocas horas, así que 30 días alcanzan.

4) Qué contiene un reporte publicado

Cada reporte se depura antes de publicarse:

  • Se eliminan: credenciales, datos personales, detalles de explotación y cualquier precio o propuesta que se le haya hecho al dueño.
  • Se conservan: qué está mal, la evidencia y qué lo corrige.

Un hallazgo describe la debilidad y el remedio. Nunca incluye un método de ataque que funcione.

5) Retener o retirar un reporte

Cualquier dueño puede pedirnos que no publiquemos un reporte, o que retiremos uno ya publicado, escribiendo a [email protected]. Atendemos la solicitud.

Lo que un retiro no puede hacer. Quita el reporte de nuestros sitios. No puede recuperar una copia que un buscador u otra persona ya haya hecho.

6) Quién dirige las auditorías

Rodrigo Landa, presidente de Metrolux Solutions Inc., dirige todas las auditorías que realizamos. Las preguntas sobre una auditoría o un reporte van a [email protected].

Esta política está escrita para los dueños de los sitios que auditamos y para quien quiera decidir cuánto confiar en lo que publicamos.