Seguridad y Notificación de Vulnerabilidades

1. Cómo notificar una vulnerabilidad

Escríbenos a security@embediot.es. Puedes hacerlo en español, inglés o catalán. Para que podamos analizarla rápidamente, incluye en la medida de lo posible:

• El producto o servicio afectado y su versión (por ejemplo, la versión del sistema que se muestra en la interfaz del gateway).
• Una descripción de la vulnerabilidad y de su posible impacto.
• Los pasos necesarios para reproducirla y, si dispones de ella, una prueba de concepto.
• Cómo podemos contactar contigo y si deseas aparecer en los agradecimientos.

No incluyas en tu mensaje datos personales de terceros ni información que hayas obtenido más allá de lo estrictamente necesario para demostrar el problema.

2. Alcance

Esta política se aplica a:

• El gateway LONTRA (equipo, sistema operativo, aplicación y su servicio de actualizaciones).
• Los servicios en línea asociados al gateway (decoders.embediot.es y el registro de actualizaciones).
• Este sitio web (embediot.es).

Quedan fuera de su alcance los productos y servicios de terceros (por ejemplo, Home Assistant o los sensores LoRaWAN de otros fabricantes); en ese caso, contacta directamente con su fabricante.

3. Qué puedes esperar de nosotros

• Acuse de recibo en un plazo máximo de 3 días hábiles.
• Evaluación inicial (confirmación y gravedad) en un plazo máximo de 10 días hábiles.
• Información sobre el progreso de la corrección hasta su publicación.
• Corrección y publicación de una actualización de seguridad en el menor plazo posible según su gravedad, con un objetivo de 90 días como máximo.
• Divulgación coordinada contigo y, si lo deseas, mención en los agradecimientos.

4. Directrices para una investigación responsable

Te pedimos que:

• Realices las pruebas únicamente sobre equipos de tu propiedad o con autorización expresa de su propietario.
• No accedas, modifiques ni elimines datos de otras personas, y no vayas más allá de lo necesario para demostrar la vulnerabilidad.
• No realices ataques de denegación de servicio, ingeniería social ni pruebas físicas sobre nuestras instalaciones.
• No hagas pública la vulnerabilidad hasta que se haya publicado la corrección o hayan transcurrido 90 días desde tu notificación, salvo acuerdo con nosotros.

Si actúas de buena fe y respetando estas directrices, no emprenderemos acciones legales contra ti por tu investigación.

5. Actualizaciones de seguridad y soporte

Las correcciones de seguridad del gateway se distribuyen mediante su servicio de actualizaciones, firmadas digitalmente por Embed-IoT. El equipo avisa en su interfaz cuando hay una nueva versión disponible y aplica de forma automática los parches de seguridad de su sistema operativo.

Embed-IoT proporciona actualizaciones de seguridad para el gateway LONTRA durante un mínimo de 5 años desde la fecha de introducción en el mercado de cada equipo. La fecha de fin de soporte de tu equipo (mes y año) figura en su embalaje y en el manual de usuario.

Cuando una vulnerabilidad se esté explotando activamente o se produzca un incidente grave, lo notificaremos a las autoridades competentes conforme a la normativa europea de ciberseguridad e informaremos a los usuarios afectados de las medidas que deben adoptar.

6. Contacto

Notificaciones de seguridad: security@embediot.es
Otras consultas: info@embediot.es
Información legible por máquina: /.well-known/security.txt