Xeneural agradece el trabajo de quienes investigan la seguridad de XEN y de xeneural.com de buena fe. Esta política explica qué está dentro del alcance, cómo reportar, qué respuesta puede esperar y el compromiso de Xeneural de no emprender acciones contra quien investigue conforme a ella.
1. Alcance
Dentro del alcance:
- xeneural.com y sus subdominios públicos.
- La aplicación XEN (web y aplicaciones móviles).
- El asistente XENI, en lo relativo a evasión de permisos, fuga de datos entre organizaciones o inyección de instrucciones que produzcan acciones no autorizadas.
Fuera del alcance:
- Sistemas de terceros que usamos (proveedores de nube, de identidad, de correo, de modelos de inteligencia artificial): repórtelos a su programa correspondiente.
- Ataques de denegación de servicio, envío masivo de correo, ingeniería social a nuestro personal o a nuestros clientes, y acceso físico.
- Hallazgos sin impacto de seguridad demostrable: mejores prácticas sin vector de explotación, cabeceras informativas, versiones de software sin vulnerabilidad conocida, resultados de escáneres automáticos sin confirmación.
2. Reglas de la investigación
- Use solo cuentas propias o de prueba; no acceda, modifique ni descargue datos de otros clientes. Si accede a datos ajenos por accidente, deténgase, no los conserve y repórtelo de inmediato.
- No degrade el Servicio: nada de pruebas de carga, fuerza bruta masiva ni automatización agresiva.
- No haga pública la vulnerabilidad antes de que esté corregida y hayamos acordado la publicación.
- Cumpla la ley aplicable.
3. Cómo reportar
Escriba a security@xeneural.com con: descripción del hallazgo, pasos para reproducirlo, impacto estimado, y su nombre o alias si desea reconocimiento. Puede adjuntar capturas o registros. Si necesita cifrar el mensaje, indíquelo y le enviaremos una clave pública. Los datos de contacto también están en https://xeneural.com/.well-known/security.txt.
4. Qué puede esperar de Xeneural
| Compromiso | Plazo |
|---|---|
| Acuse de recibo | 2 días hábiles |
| Evaluación inicial y clasificación de severidad | 5 días hábiles |
| Corrección de vulnerabilidades críticas o altas | 30 días desde la confirmación, o plan de mitigación comunicado |
| Corrección de vulnerabilidades medias o bajas | 90 días desde la confirmación |
| Información de avance | Al menos cada 15 días mientras el reporte esté abierto |
| Publicación coordinada | Acordada con el investigador tras la corrección |
Reconocemos públicamente, con su permiso, a quienes reportan vulnerabilidades válidas. Hoy no operamos un programa de recompensas; si lo hacemos en el futuro, se anunciará en esta página.
5. Puerto seguro
Xeneural considera que la investigación realizada conforme a esta política está autorizada, es conducta de buena fe y no constituye acceso ilícito. Xeneural no iniciará ni apoyará acciones legales contra quien cumpla estas reglas, y si un tercero lo hiciera, haremos constar que la investigación fue autorizada. Si una acción concreta le genera dudas sobre si está cubierta, pregúntenos antes de realizarla.
6. Cambios
Esta política se publica con versión y fecha. Los cambios no afectan a los reportes ya presentados.
Vigente desde 28 de septiembre de 2026. Las versiones anteriores se conservan y se facilitan escribiendo a legal@xeneural.com.