English
Deutsch
Français
Português (Brasil)
Türkçe
Русский
简体中文
日本語Seguridad
PNLCS gestiona la facturación, las credenciales de los clientes y las integraciones de pago de empresas de hosting reales. Un fallo de seguridad puede afectar a facturas, datos de clientes y pagos.
Después de tu informe
No abras una incidencia pública, una discusión ni un hilo en el foro para un hallazgo de seguridad.
Qué puedes esperar
En 48 horas
Acuse de recibo
Te confirmamos que el informe ha llegado.
En 5 días hábiles
Evaluación inicial
Una primera evaluación y una clasificación de gravedad.
Cada semana
Actualizaciones de estado
Antes para problemas críticos.
Normalmente 14 días
Corrección publicada
Para problemas críticos, contados desde la confirmación.
90 días
Divulgación
El plazo predeterminado, negociable.
Dentro del alcance
- La aplicación: área de administración, portal de clientes, API, workers de colas, tareas programadas
- Autenticación, roles, sesiones y tokens
- Integraciones de pasarelas de pago, registradores y servidores
- Plantillas y vistas de los temas por defecto
- Scripts de instalación y actualización publicados desde el repositorio
Fuera del alcance
- Ataques que requieren acceso físico o equivalente a root
- Fallos en paquetes de terceros (infórmalos a sus autores)
- Self-XSS, o cabeceras ausentes sin una vía de ataque real
- Resultados de escáneres automáticos sin un impacto demostrado
- Las instancias de demo y sandbox que gestiona Panelica
- Forks y copias modificadas
Protecciones integradas
Lo que hace PNLCS para mantener segura una instalación, y lo que deberías revisar después de instalarlo.
- Acceso basado en roles
- Más de 45 permisos detallados para el personal.
- Autenticación en dos pasos
- Para personal y clientes, con códigos de recuperación para el personal.
- Limitación de intentos
- Inicio de sesión, 2FA, restablecimiento de contraseña y reenvío de correos.
- Registro de actividad
- Cada acción de administración queda registrada.
- Herramientas de hosting acotadas
- Cada acción sobre archivos, DNS, cron y copias de seguridad se comprueba contra los dominios propios del cliente.
- Aprovisionamiento protegido
- En Proxmox, PNLCS solo actúa sobre las máquinas que ha creado y marcado.
No tenemos un programa de recompensas remunerado, pero podemos dar crédito a los investigadores en el aviso de seguridad y en el changelog. No emprenderemos acciones contra investigaciones de buena fe que sigan la política.