Política de seguridad y divulgación de vulnerabilidades

Borrador pendiente de revisión por asesor legal. Alineada con el Reglamento (UE) 2024/2847 de Ciberresiliencia (CRA) y la norma ISO/IEC 29147.

Comunicar una vulnerabilidad

Si crees haber encontrado una vulnerabilidad en https://nexorabase.es, en sus instancias o en la aplicación de escritorio, escríbenos a hola@nexorabase.es con el asunto «Seguridad» e incluye una descripción, los pasos para reproducirla y el impacto estimado. También puedes consultar nuestro fichero /.well-known/security.txt.

Nos comprometemos a:

• Acusar recibo en 2 días hábiles.
• Mantenerte informado del progreso y acordar contigo la fecha de divulgación (por defecto, 90 días).
• No emprender acciones legales contra investigaciones realizadas de buena fe que respeten estas reglas.

Reglas de buena fe

• No accedas, modifiques ni elimines datos de otros usuarios o clientes; usa solo cuentas propias.
• No realices pruebas de denegación de servicio, ingeniería social ni ataques físicos.
• No divulgues la vulnerabilidad antes de que esté corregida.

Gestión de vulnerabilidades y actualizaciones

• Analizamos las dependencias de forma automática en cada versión y aplicamos parches de seguridad sin demora.
• Las actualizaciones de seguridad se aplican automáticamente a las instancias alojadas y se distribuyen a la aplicación de escritorio, separadas de las actualizaciones funcionales cuando es posible.
• Desde el 11 de septiembre de 2026, las vulnerabilidades activamente explotadas y los incidentes graves que afecten a la seguridad de nuestros productos con elementos digitales se notifican a través de la plataforma única de notificación de ENISA (alerta temprana en 24 h, notificación en 72 h e informe final) conforme al artículo 14 del CRA.
• Mantenemos un inventario de componentes de software (SBOM) de cada versión.