Seguridad

Esta traducción se ofrece por comodidad. Si difiere de la versión en inglés, prevalece la versión en inglés.

Última actualización: [DATE]

Nos tomamos en serio la seguridad de Soffio. Si has encontrado una vulnerabilidad, cuéntanosla primero en privado, para que podamos corregirla antes de que otros puedan aprovecharla.

Informar de una vulnerabilidad

Escribe a security@getsoffio.app. El mismo contacto figura en getsoffio.app/.well-known/security.txt. [Clave PGP: opcional, véanse los puntos abiertos.]

Incluye, por favor:

• lo que encontraste y lo que un atacante podría hacer con ello,
• la versión de Soffio (Ajustes > Acerca de) y tu versión de macOS,
• los pasos para reproducirlo y una prueba de concepto si la tienes.

Escribe en inglés o en italiano. No informes de problemas de seguridad en lugares públicos como redes sociales o foros.

Qué ocurre después

Valoramos la gravedad con CVSS y según cómo afecta el problema a usuarios reales. Te mantenemos informado mientras trabajamos en ello y te avisamos cuando salga la versión corregida. Son objetivos, no promesas; somos una empresa de una sola persona y te avisaremos si necesitamos más tiempo.

Divulgación coordinada

• Danos 90 días desde tu informe, o hasta que haya una corrección si es antes, antes de publicar los detalles. Si necesitamos más tiempo, te lo pediremos y te explicaremos por qué.
• Si el problema se está explotando activamente, podemos publicar un aviso antes, junto contigo.
• Cuando salga la corrección, publicamos un aviso breve en getsoffio.app/security y lo mencionamos en las notas de la versión. Te citaremos por tu nombre o alias si lo deseas; dinos cómo.
• Podemos solicitar un identificador CVE para los problemas graves.

Por ahora no hay un programa de recompensas (bug bounty) de pago.

Puerto seguro (safe harbour)

Si actúas de buena fe y sigues esta política, no emprenderemos acciones legales contra ti por tu investigación ni pediremos a nadie más que lo haga. Buena fe significa que:

• pruebas solo en tu propio Mac, con tus propias cuentas y tus propios datos,
• no accedes a datos de otras personas, ni los cambias ni los borras,
• no atacas nuestro sitio web, Polar, Groq ni otros servicios de forma que los perjudiques a ellos o a sus usuarios (nada de denegación de servicio, spam ni ingeniería social),
• nos das un tiempo razonable para corregir el problema antes de publicarlo.

Dentro del alcance

• La app Soffio, su herramienta de línea de comandos soffio y su servidor MCP.
• El feed de actualizaciones y las firmas de las actualizaciones.
• La gestión de licencias dentro de la app.
• El sitio web getsoffio.app.

Fuera del alcance

• Servicios que no operamos: Groq, Polar, Hugging Face, Ollama, yt-dlp, GitHub, nuestro proveedor de alojamiento web. Informa de ellos a sus propietarios. Aun así queremos saber si Soffio los usa de forma insegura.
• Problemas que exigen que un atacante ya controle tu cuenta de usuario del Mac con los mismos derechos que tú, o que tenga acceso físico a un Mac desbloqueado, salvo que Soffio empeore claramente las cosas.
• Eludir la licencia o la prueba en tu propio Mac. Es un asunto de licencias, no una vulnerabilidad de seguridad. Puedes contárnoslo igualmente.
• Informes de escáneres automáticos sin prueba de que el problema sea real.
• Cabeceras de buenas prácticas ausentes en el sitio web sin impacto real.

Periodo de soporte

• Cada versión mayor de Soffio recibe correcciones de seguridad durante al menos 2 años desde su primera publicación, y durante al menos 1 año desde que sale la siguiente versión mayor, lo que ocurra más tarde.
• Las correcciones se publican en la última versión menor de esa versión mayor (por ejemplo, 1.4.2). Las actualizaciones dentro de una versión mayor son gratuitas. Mantén Soffio actualizado; las búsquedas automáticas de actualizaciones son la forma más fácil.
• Anunciamos el fin del soporte de una versión mayor al menos 6 meses antes de que termine, en getsoffio.app/security y en las notas de la versión de la app.
• Soffio es compatible con las versiones de macOS indicadas en la página de descarga. Cuando dejemos de dar soporte a una versión antigua de macOS, la última versión de Soffio para ella se indicará en las notas de la versión.

Cómo te llegan las correcciones

Las actualizaciones se entregan con el actualizador integrado de la app (Sparkle). Cada actualización se firma con nuestra propia clave, y la app comprueba la firma antes de instalarla. La propia app está firmada con un Apple Developer ID y notarizada por Apple. Las notas de la versión indican cuándo una actualización contiene una corrección de seguridad.

Lista de materiales de software (SBOM)

Soffio usa un pequeño número de componentes de código abierto. Sus nombres, versiones y licencias figuran en el archivo THIRD_PARTY_NOTICES dentro de la app y en Ajustes > Acerca de > Agradecimientos. Una lista de materiales de software (SBOM) legible por máquina de cada versión está disponible a petición en security@getsoffio.app. [O: publicada en getsoffio.app/security/sbom.json, véanse los puntos abiertos.]

Contacto

security@getsoffio.app. Roberto Cinetto, [ADDRESS], [PROVINCE], Canadá.

El mismo contacto está en security.txt.