Informar de una vulnerabilidad
security@webcounter.ca
Envía un correo electrónico a security@webcounter.ca si encuentras un problema de seguridad en el panel, el script de seguimiento o la API. Incluye la página o el punto de conexión, los pasos para reproducirlo y el resultado que esperabas. El cifrado es opcional.
Informa del problema en privado y deja tiempo para investigarlo antes de divulgarlo públicamente. Nuestro objetivo es acusar recibo de los informes en unos pocos días laborables y proporcionar novedades mientras trabajamos en ellos.
Protección jurídica
La investigación de seguridad de buena fe está autorizada
No emprenderemos acciones legales por investigaciones que respeten esta política. Trabajaremos contigo para comprender y resolver el problema notificado.
- Utiliza cuentas y sitios que hayas creado para realizar pruebas o para los que tengas permiso explícito. No accedas a los datos de otro cliente.
- Detente e informa en cuanto tengas pruebas suficientes para demostrar el problema; no sigas extrayendo datos una vez establecido el impacto.
- No ejecutes escáneres automatizados, pruebas de carga ni otras actividades que puedan degradar el servicio. Los límites de velocidad normales también se aplican al tráfico de investigación.
- No intentes obtener acceso físico ni realices ingeniería social o phishing contra los operadores o clientes de Counter.
- Danos la oportunidad de corregir el problema antes de hablar de él públicamente.
Webcounter.ca no tiene un programa de recompensas remunerado. Podemos reconocerte públicamente después de publicar una corrección si así lo deseas.
Ámbito
Qué cubre esta política
Dentro del ámbito: webcounter.ca y las interfaces de su panel, cuenta y API; el /c.js fragmento de recopilación y los /api/collect//c.gif//badge.svg puntos de conexión a los que llama; las páginas públicas de informes compartidos y del directorio de la red.
Fuera del ámbito: pruebas de denegación de servicio y servicios que Counter no opera, incluidos el correo electrónico transaccional y los hosts de teselas de OpenStreetMap.
Seguridad de la cuenta
Contraseñas, sesiones y autenticación multifactor
Las contraseñas se someten a hash con bcrypt antes de almacenarse; la contraseña en texto sin formato nunca se escribe en ningún lugar. Las comprobaciones de inicio de sesión ejecutan una comparación fija exista o no el correo electrónico, por lo que el tiempo de respuesta no puede utilizarse para enumerar cuentas. Los intentos de inicio de sesión tienen un límite de frecuencia por dirección.
Todas las cuentas pueden habilitar una autenticación multifactor opcional con un código de autenticación de 30 segundos y códigos de recuperación de un solo uso. Los secretos de MFA están cifrados y los códigos de recuperación se almacenan como hashes unidireccionales. Cambiar la contraseña revoca las demás sesiones y los enlaces de restablecimiento de contraseña pendientes.
Los enlaces de correo electrónico para verificación, restablecimiento de contraseña y cambios de dirección abren una pantalla de confirmación. La acción solo ocurre después de enviarla, por lo que un escáner automatizado de correo no puede activarla al seguir el enlace.
Claves de API
Se muestran una vez y se almacenan como hash
Las claves de API y las claves secretas se muestran una vez al crearse. Counter solo almacena un hash SHA-256, por lo que una clave funcional no puede recuperarse posteriormente. Revoca y sustituye una clave perdida.
Protección de datos
Protección de datos
Los identificadores de visitantes utilizan un hash rotatorio con clave, y las direcciones IP sin procesar de los visitantes no se almacenan en los eventos de analítica. Los puntos de conexión de las suscripciones Web Push se cifran en reposo. Las copias de seguridad nocturnas de la base de datos se cifran con una clave pública, y las comprobaciones automatizadas de restauración verifican cada copia.
Consulta la página de conservación de datos para saber exactamente cuánto tiempo se conserva cada tipo de datos, y el Aviso de privacidad para conocer la política completa.
Transporte y aislamiento
HTTPS, encabezados de seguridad y aislamiento entre cuentas
El panel, la cuenta y la API utilizan HTTPS, HSTS, Política de seguridad de contenido y encabezados de encuadre, referencia y permisos. Los puntos de conexión de recopilación (/c.js, /api/collect, /c.gif, /badge.svg) permiten solicitudes entre orígenes porque los sitios de los clientes deben cargarlos. Devuelven la misma respuesta vacía tanto si una solicitud se acepta como si se rechaza y no exponen datos confidenciales.
El panel y la API utilizan una única ruta de autorización compartida para acceder a los sitios. Un usuario o una clave cuyo ámbito se limite a un sitio no puede acceder a otra cuenta adivinando un identificador. Producción y preproducción también utilizan credenciales de base de datos diferentes, y se impide que preproducción acceda a los datos de producción.