Saltar al contenido
Puesta en marchaReserva una llamada gratis
Seguridad

¿Has encontrado una vulnerabilidad? Cuéntanoslo en privado.

PNLCS gestiona la facturación, las credenciales de clientes y las integraciones de pago de empresas de hosting reales. Un fallo de seguridad puede afectar a facturas, datos de clientes y pagos, y tratamos cada informe con esa seriedad.

Informar de una vulnerabilidad Política de seguridad completa

Escribe a [email protected]

Incluye una descripción, el componente afectado, los pasos para reproducirlo, el impacto y tus versiones de PNLCS, Laravel, PHP y MySQL. Oculta cualquier credencial o dato de clientes. Hay una clave PGP disponible si la pides.

También puedes usar el informe privado de vulnerabilidades de GitHub.Informar en GitHub

No abras una incidencia, una discusión ni un hilo del foro públicos para un hallazgo de seguridad.

Qué ocurre después de informar

  1. 48 horasAcuse de reciboTe confirmamos que el informe ha llegado.
  2. 5 días hábilesEvaluaciónUna primera valoración y un nivel de gravedad.
  3. SemanalNovedades sobre el estadoAntes en los casos críticos.
  4. 14 díasCorrección publicadaLo habitual en los casos críticos, contando desde la confirmación.
  5. 90 díasDivulgaciónEl plazo por defecto, negociable.

Dentro del alcance

  • La aplicación: área de administración, área de clientes, API, workers de colas y tareas programadas
  • Autenticación, roles, sesiones y tokens
  • Integraciones de pasarelas de pago, registradores y servidores
  • Plantillas y vistas de los temas incluidos
  • Scripts de instalación y actualización publicados desde el repositorio

Fuera del alcance

  • Ataques que requieren acceso físico o equivalente a root
  • Fallos en paquetes de terceros: infórmalos a sus autores
  • Self-XSS, o cabeceras ausentes sin una vía de ataque real
  • Resultados de escáneres automáticos sin un impacto demostrado
  • Las instalaciones de demo y de pruebas que gestiona Panelica
  • Forks y copias modificadas

Incluido en cada instalación

Lo que hace PNLCS para mantener segura una instalación. La lista de seguridad cubre qué revisar después de instalar.

Lista de seguridad
Acceso basado en roles46 permisos detallados para el personal. Una clave de API actúa con el rol de su cuenta de personal.
Autenticación en dos pasosPara personal y clientes, con códigos de recuperación para el personal.
Límites de intentosInicio de sesión, códigos de dos pasos, restablecimiento de contraseña y correos de verificación.
Registro de actividadCada acción en el área de administración y a través de la API queda registrada con quién la hizo.
Herramientas de hosting acotadasCada acción sobre archivos, DNS, cron y copias se comprueba contra los propios dominios del cliente.
Aprovisionamiento protegidoEn Proxmox VE, PNLCS solo actúa sobre las máquinas que creó y marcó.

Salón de la fama

Informaron de un fallo en privado y nos dieron tiempo para publicar antes una corrección. Gracias.

Santosh Kumar PuppalaSe aceptaba una petición a la API con un identificador válido y sin secreto. Corregido en la 1.3.0.
Sam CanEl enlace de restablecimiento de contraseña tomaba el host de la petición, así que una cabecera falsificada podía hacer que un correo legítimo apuntara a otro servidor. Corregido en la 1.15.0.
No hay un programa de recompensas pagado, pero los investigadores aparecen en el aviso y en el changelog, y aquí si lo desean. No emprenderemos acciones contra la investigación de buena fe que siga la política.