Herramienta gratuita

Generador gratuito de políticas de divulgación de vulnerabilidades

El generador elabora una política de divulgación de vulnerabilidades en la que se especifican el ámbito de aplicación, las condiciones de exención de responsabilidad y los plazos de respuesta, así como el archivo security.txt que remite a los investigadores a dicha política.

Crea tu póliza Generador de security.txt
  • Política de divulgación
  • Cláusula de exención de responsabilidad
  • archivo security.txt
  • Lista de comprobación para la publicación

Elabora tu política de divulgación de vulnerabilidades.

Sigue los 3 pasos y copia los resultados en el paso 4.

Cuéntanos algo sobre tu organización

La página en la que publicarás la política. El archivo security.txt incluye un enlace a ella.

Uno por línea. Déjalo en blanco para incluir tu página web y sus subdominios.

Elige cómo quieren informar los usuarios

Indica al menos una forma de informar. El archivo security.txt las enumera en este orden.

La página de tu programa en una plataforma como HackerOne, Bugcrowd, Intigriti o YesWeHack.

Queda menos de un año a partir de hoy. Actualiza el archivo antes de esa fecha.

Un enlace a tu clave pública, que los investigadores utilizan para cifrar sus informes. El archivo contiene un enlace a la clave, pero no la almacena.

Establece las normas

Recompensas
Métodos de ensayo no permitidos
security.txt

El archivo en su ubicación dentro de tu página web y un resumen de la política.

Copia tu política y el archivo security.txt

Revisa el texto antes de publicarlo. Se encuentra a continuación de tus respuestas anteriores.

Introduce el nombre de tu organización para consultar tu política y el archivo security.txt.

El generador elabora un texto a partir de tus respuestas, del RFC 9116 y de plantillas habituales de políticas de divulgación, como la de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. (CISA). No constituye asesoramiento jurídico. Revisa la política antes de publicarla y consulta con un abogado la redacción de la cláusula de exención de responsabilidad: esta solo cubre las acciones de tu organización, no las de otras partes ni las de los fiscales.

Dónde publicar tu política.

Los investigadores buscan una página de seguridad, un archivo security.txt o un correo electrónico de seguridad. Coloca la política donde ellos la busquen y asegúrate de que alguien les responda.

  1. Una página dedicada exclusivamente a ello. Publica la política en un enlace corto, como /security o /vulnerability-disclosure-policy.

  2. El pie de página de tu página web. Incluye un enlace a la política en el pie de página, junto a tu Política de privacidad y tus Términos y condiciones.

  3. El archivo security.txt. Sube el archivo a /.well-known/security.txt. La línea «Policy» contiene un enlace a la página.

  4. La bandeja de entrada de notificaciones. Configura el correo electrónico de seguridad y asegúrate de que alguien lo revise todos los días laborables.

  5. Tus productos. De conformidad con la Ley de Ciberresiliencia de la UE, indica el nombre de la persona de contacto y el enlace a la política en la información para el usuario de cada producto.

  6. Un informe de pruebas. Envía un informe de pruebas a través de cada ruta, comprueba el tiempo de respuesta y revisa la política una vez al año.

Las normas

Lo que establecen las normas.

En cada fila se indica una ley, una norma o una directiva gubernamental, cuándo es aplicable y qué exige en relación con tu política de divulgación.

Leyes y normas relativas a la divulgación de vulnerabilidades, cuándo se aplican en cada caso y qué exigen
Ley o norma Cuando sea aplicable Qué se pide
RFC 9116 (security.txt) Cualquier página web. Se trata de un estándar voluntario de Internet. Un archivo de texto sin formato ubicado en /.well-known/security.txt, al que se acceda a través de HTTPS, que contenga al menos una línea «Contact» y una fecha de caducidad, preferiblemente con una antelación inferior a un año.
Ley de ciberresiliencia de la UE (Reglamento (UE) 2024/2847) Fabricantes de software y productos conectados que se comercializan en la UE. La obligación de presentar informes entrará en vigor el 11 de septiembre de 2026, mientras que el resto de requisitos lo harán a partir del 11 de diciembre de 2027. Una política coordinada de divulgación de vulnerabilidades y una dirección de contacto para la notificación de las mismas (Anexo I, Parte II), un único punto de contacto indicado en la información para el usuario (Anexo II) y la notificación a la ENISA, en un plazo de 24 horas, de las vulnerabilidades que estén siendo explotadas activamente.
Directiva NIS2 (UE) 2022/2555 Entidades esenciales e importantes de la UE, como los proveedores de servicios en la nube, de alojamiento web y de infraestructura digital. La gestión y la divulgación de vulnerabilidades como parte de las medidas de seguridad (artículo 21). Los CSIRT nacionales coordinan la divulgación entre investigadores y empresas (artículo 12).
Régimen británico de seguridad de los productos y de las infraestructuras de telecomunicaciones (PSTI) Fabricantes de productos de consumo conectables que se comercializan en el Reino Unido desde el 29 de abril de 2024. Un procedimiento oficial para notificar problemas de seguridad, así como el plazo en el que los denunciantes reciben un acuse de recibo y actualizaciones sobre el estado de la incidencia.
Directiva operativa vinculante 20-01 de la CISA, EE. UU. Agencias civiles federales de EE. UU. Su plantilla de políticas sirve de modelo común para las empresas. Una política publicada en la que se especifiquen los sistemas incluidos, el procedimiento para presentar denuncias, el compromiso de no emprender acciones legales por investigaciones realizadas de buena fe y el compromiso de acusar recibo de las denuncias en un plazo de 3 días laborables.
ISO/IEC 29147 e ISO/IEC 30111 Cualquier organización. Se trata de normas internacionales que suelen exigirse en las evaluaciones de seguridad. Cómo recibir informes y publicar avisos (29147), y cómo confirmar, solucionar y realizar un seguimiento de cada informe dentro de su organización (30111).

Generador de políticas de uso aceptable

Tu política de uso aceptable establece las normas que deben cumplir todos los demás.

El generador de políticas de uso aceptable de TermsFeed prohíbe realizar pruebas o análisis de tu servicio sin permiso por escrito, y pide a los usuarios que te informen de cualquier vulnerabilidad. Tu política de divulgación concede ese permiso a los investigadores que la respeten.

Generar una política de uso aceptable

Preguntas frecuentes.

Respuestas a preguntas frecuentes sobre las políticas de notificación de vulnerabilidades.

¿Qué es una política de divulgación de vulnerabilidades?

Una política de divulgación de vulnerabilidades indica a los investigadores de seguridad cómo notificar una vulnerabilidad que encuentren en tus sistemas y qué medidas tomarás al recibir dicha notificación.

Por lo general, una política abarca lo siguiente:

  • Los sistemas incluidos en el ámbito de aplicación y aquellos que quedan excluidos.
  • Los métodos de prueba que no están permitidos, como los ataques de denegación de servicio.
  • Cómo notificarla y qué información debe incluirse.
  • El plazo de respuesta y cuándo se harán públicos los detalles.
  • El compromiso de no emprender acciones legales contra la investigación realizada de buena fe, lo que se conoce como «puerto seguro».

¿Necesito una política de divulgación de vulnerabilidades?

Algunas leyes lo exigen, y todas las páginas web se benefician de ello.

  • La Ley de Ciberresiliencia de la UE exige a los fabricantes de software y productos conectados que se comercialicen en la UE que cuenten con una política coordinada de divulgación de vulnerabilidades a partir del 11 de diciembre de 2027.
  • El régimen PSTI del Reino Unido exige a los fabricantes de productos de consumo conectables que publiquen cómo notificar los problemas de seguridad.
  • La Directiva NIS2 de la UE incluye la divulgación de vulnerabilidades entre las medidas de seguridad de las entidades esenciales e importantes.

Sin una política, un investigador que detecte una vulnerabilidad no sabrá a quién informar y, en ocasiones, la publicará sin avisarte.

¿Es lo mismo una política de divulgación de vulnerabilidades que un programa de recompensas por errores?

No. Una política de divulgación de vulnerabilidades anima a presentar informes. Un programa de recompensas por errores anima a presentar informes y paga por ellos.

  • Una política se puede publicar de forma gratuita y funciona por sí sola.
  • Un programa de recompensas por errores añade recompensas y, a menudo, se gestiona a través de una plataforma como HackerOne o Bugcrowd, siguiendo las normas que establece dicha plataforma.

La mayoría de las organizaciones empiezan con una política y añaden recompensas más adelante.

¿Qué significa «safe harbor» en una política de divulgación?

La cláusula de exención de responsabilidad es tu compromiso de que la investigación que se ajuste a la política está autorizada y de que no emprenderás ninguna acción legal contra ella.

  • Abarca las actividades de su organización.
  • No impide que otras partes, como un proveedor de alojamiento web o la fiscalía, actúen.
  • La investigación debe cumplir con la política: el alcance, los métodos de prueba y las normas de divulgación.

Consulta la redacción con un abogado antes de publicarla.

¿En qué plazo debemos responder a una denuncia?

Muchas políticas confirman que han recibido un informe en un plazo de 3 días laborables, tal y como se indica en la plantilla de la CISA.

  • Elige unos plazos de respuesta que tu equipo pueda cumplir siempre: una respuesta que no se envía a tiempo es la razón más habitual por la que los investigadores publican antes de tiempo.
  • El régimen PSTI del Reino Unido te pide que publiques tus plazos de respuesta, no que cumplas un número determinado de días.
  • Es habitual establecer un plazo de 90 días antes de que se hagan públicos los detalles.

¿El generador de políticas de divulgación de vulnerabilidades es gratuito?

Sí, el generador de políticas de divulgación de vulnerabilidades es gratuito.

  • El generador no requiere crear una cuenta.
  • El generador también crea el archivo security.txt.

Crea tu política con el generador anterior.