--- title: "Política de divulgación de vulnerabilidades" description: "Cómo informar de una vulnerabilidad en CLAQON o en su web: contacto, qué incluir, qué haremos, alcance y protección a quien investiga de buena fe." url: https://claqon.com/legal/divulgacion-de-vulnerabilidades/ language: es updated: 2026-10-12 alternates: en: https://claqon.com/en/legal/vulnerability-disclosure/ pt: https://claqon.com/pt/legal/divulgacao-de-vulnerabilidades/ --- Legal # Política de divulgación responsable de vulnerabilidades Si encuentras un fallo de seguridad en CLAQON o en esta web, cuéntanoslo antes de hacerlo público. Te explicamos cómo hacerlo, qué haremos y cómo te protegemos si investigas de buena fe. En vigor desde el 13 de octubre de 2026 Esta política de divulgación responsable de vulnerabilidades explica cómo informarnos de un fallo de seguridad en CLAQON o en esta web, qué haremos al recibirlo y qué reglas te pedimos que sigas. Las medidas de seguridad del producto están descritas en [seguridad](https://claqon.com/seguridad/). ## Alcance Entran en esta política: - **El software CLAQON:** el panel, el motor de producción, los instaladores y los sistemas de copias, actualizaciones y licencias, en las versiones que mantenemos. - **Esta web** y los archivos que publica, como `security.txt`. Quedan fuera: - **Los servicios de terceros** que CLAQON usa o conecta, como YouTube, Meta, X, los proveedores de IA, Docker o FFmpeg. Infórmales a ellos directamente. Si el fallo está en cómo CLAQON usa uno de esos servicios, sí entra. - **Las instalaciones de otras personas.** Prueba sólo en una instalación tuya o de pruebas, nunca en la de un cliente sin su permiso. - **Las pruebas de denegación de servicio o de carga,** la ingeniería social, el phishing a nuestro equipo o a nuestros clientes y los ataques físicos. - **Los informes automáticos sin impacto demostrado,** como listados de un escáner sin una prueba de que el fallo se puede explotar. ## Cómo informar - **Escríbenos a [soporte@claqon.com](mailto:soporte@claqon.com)** con el asunto «Seguridad». Si la dirección que figura en nuestro archivo [/.well-known/security.txt](https://claqon.com/.well-known/security.txt) es distinta, usa esa. - **Te atiende una persona,** no un sistema automático. Puedes escribirnos en español o en inglés. - **Sin clave de cifrado por ahora.** Todavía no publicamos una clave OpenPGP. No incluyas en el primer mensaje datos personales ni secretos: si hace falta, acordaremos contigo un canal seguro. - **Si lo prefieres,** puedes informar a través de un equipo de respuesta a incidentes (CSIRT) que coordine la divulgación, o sin identificarte. ## Qué incluir en tu aviso 1. El componente afectado y su versión. La versión de CLAQON aparece en el panel. 2. Una descripción del fallo y de su impacto. 3. Los pasos para reproducirlo y, si la tienes, una prueba de concepto. 4. Si sabes que se está explotando ya. 5. Cómo contactarte y si quieres que te mencionemos cuando se publique. ## Qué haremos - **Acusar recibo** de tu aviso y mantenerte informado de cómo avanza. - **Analizarlo y reproducirlo,** y valorar su gravedad contigo si hace falta. - **Corregirlo** con una actualización de seguridad firmada, separada de las mejoras funcionales cuando sea viable. - **Coordinar contigo la publicación** y reconocer tu trabajo si lo deseas. - **Avisar a quien le afecte,** por los canales de aviso del producto y en [novedades](https://claqon.com/novedades/). - **Notificar a las autoridades** las vulnerabilidades explotadas y los incidentes graves cuando el Reglamento de Ciberresiliencia lo exija. **Plazos orientativos.** Acusamos recibo en un máximo de 5 días hábiles. Procuramos corregir los fallos críticos y graves en 90 días como máximo; si necesitamos más, lo hablaremos contigo antes de que venza el plazo. Hoy no ofrecemos recompensas económicas por los avisos. ## Investigación de buena fe Si investigas de buena fe y respetas estas reglas, no emprenderemos acciones legales contra ti por esa investigación y la consideraremos autorizada: - prueba sólo en instalaciones tuyas o de pruebas, y en esta web sin alterar su funcionamiento; - no accedas, modifiques, copies ni borres datos de otras personas más allá de lo mínimo para demostrar el fallo; - detente y avísanos en cuanto lo demuestres; - no degrades el servicio ni pongas en riesgo a nuestros clientes; - mantén la información en reserva hasta que publiquemos la corrección o acordemos una fecha contigo; - cumple la ley. Este compromiso no puede cubrir reclamaciones de terceros, como las de un cliente cuya instalación hayas probado sin su permiso, ni impedir que actuemos si se incumplen estas reglas. ## Publicación coordinada Acordaremos contigo una fecha para publicar el fallo, normalmente cuando la corrección esté disponible. Publicaremos un aviso con la descripción, las versiones afectadas, la corrección y, si lo deseas, tu nombre. Si el fallo se está explotando, podremos adelantar el aviso para proteger a quien use CLAQON. ## Reglamento de Ciberresiliencia El Reglamento (UE) 2024/2847 de Ciberresiliencia exige a los fabricantes de productos con elementos digitales: - una política de divulgación coordinada de vulnerabilidades y un punto de contacto para recibir avisos, como esta página; - desde el 11 de septiembre de 2026, notificar las vulnerabilidades explotadas activamente y los incidentes graves a través de la plataforma única de notificación de ENISA: una alerta temprana en 24 horas, una notificación en 72 horas y un informe final; - corregir las vulnerabilidades sin demora, con actualizaciones de seguridad. Sus obligaciones generales se aplican desde el 11 de diciembre de 2027. **Cómo se aplica a CLAQON.** CLAQON es un software que se instala en el equipo del cliente: cuando se comercialice en la Unión Europea, será un producto con elementos digitales y su titular, su fabricante. Desde ese momento cumpliremos las obligaciones de notificación y, cuando se apliquen las generales, publicaremos para cada versión un periodo de soporte de seguridad de al menos cinco años, salvo que su vida útil prevista sea menor, como explica la [licencia](https://claqon.com/legal/licencia/#actualizaciones). ## El archivo security.txt Siguiendo la norma RFC 9116, publicamos en [/.well-known/security.txt](https://claqon.com/.well-known/security.txt) el contacto para avisos de seguridad, su fecha de caducidad, los idiomas preferidos y el enlace a esta política.