Cómo detectar las vulnerabilidades de seguridad

Fomentamos la realización de investigaciones de seguridad responsables en los servicios y productos de Five9. Previa aprobación por escrito, le permitimos realizar investigaciones y pruebas de vulnerabilidad en los servicios de Five9 a los que tiene acceso autorizado. Las solicitudes deben enviarse a privacy@five9.com.

En ningún caso su investigación y sus pruebas supondrán lo siguiente:

1. Acceder o intentar acceder a cuentas o datos que no le pertenezcan a usted ni a sus usuarios autorizados.
2. Cualquier intento de modificar o destruir datos.
3. Ejecutar o intentar ejecutar un ataque de denegación de servicio.
4. Enviar o intentar enviar correos electrónicos no solicitados o no autorizados, spam u otras formas de mensajes no solicitados a cualquier empleado o contratista de Five9.
5. Probar sitios web, aplicaciones o servicios de terceros que se integren con los servicios de Five9.
6. Publicar, transmitir, cargar, vincular, enviar o almacenar malware, virus o software perjudicial similar, o intentar interrumpir o degradar los servicios de Five9.
7. Toda actividad que viole cualquier ley aplicable o incumpla cualquier acuerdo para descubrir vulnerabilidades.

Problemas que no se deben denunciar

1. Divulgación de archivos o directorios públicos conocidos (por ejemplo, robots.txt).
2. Divulgación de banners sobre servicios comunes o públicos.
3. Sugerencias de configuración del encabezado de seguridad HTTP/HTTPS/SSL/TLS.
4. Falta de marcadores Secure/HTTPOnly en cookies no confidenciales.
5. Técnicas de suplantación de identidad o ingeniería social.
6. Si hay operaciones de "completar automáticamente" o "guardar contraseña" en la aplicación o el navegador web.
7. Sugerencias de configuración del protocolo Sender Policy Framework (SPF).
8. Configuraciones de DMARC.
9. Clickjacking / reparación de la interfaz de usuario

Cómo denunciar vulnerabilidades de seguridad

En espera de la aprobación por escrito de Five9 para realizar la investigación, si cree que ha detectado un problema de vulnerabilidad de seguridad, comparta los detalles con Five9 completando el formulario a continuación.

Disposición Safe Harbor

Al llevar a cabo investigaciones de vulnerabilidad de acuerdo con esta política, consideramos que esta investigación:

• Está autorizada de conformidad con la Ley de Fraude y Abuso Informático (CFAA) (o leyes estatales similares), y no iniciaremos ni apoyaremos acciones legales en su contra por violaciones accidentales y de buena fe de esta política.
• Está exenta de la Ley de Derechos de Autor en la Era Digital (DMCA), y no presentaremos una reclamación contra usted por la evasión de los controles tecnológicos.
• Está exenta de las restricciones de nuestros Términos y condiciones que interferirían con la realización de investigaciones de seguridad. Además, renunciamos a esas restricciones de forma limitada para el trabajo que se realice en virtud de esta política.
• Es legal, útil para la seguridad general de Internet, y se lleva a cabo de buena fe.
• Como siempre, se espera que usted cumpla con todas las leyes aplicables.

Si en algún momento tiene inquietudes o no está seguro de si su investigación de seguridad es coherente con esta política, consulte a través de support@bugcrowd.com antes de tomar alguna otra medida.

Compromiso del equipo de seguridad de Five9

Comprenda que su investigación se considera información confidencial de Five9 y cualquier publicación, reproducción u otra distribución de alguna parte de la investigación está expresamente prohibida sin el consentimiento previo por escrito de Five9. Si envía un informe de vulnerabilidad de manera responsable, el equipo de seguridad de Five9 y las organizaciones de desarrollo asociadas harán todos los esfuerzos razonables para hacer lo siguiente:

1. Responder de manera oportuna, y acusar recibo de su informe de vulnerabilidad.
2. Proveer un período de tiempo estimado para abordar el informe de vulnerabilidad.
3. Notificarle cuando se haya solucionado la vulnerabilidad.