Divulgación y avisos, atender a quien encuentra un fallo

La divulgación coordinada es el acuerdo por el que quien encuentra un fallo lo comunica en privado a la empresa, esta lo corrige y solo después se publica. Existen normas internacionales que describen cómo recibir y tratar esos informes, entre ellas ISO/IEC 29147 e ISO/IEC 30111, y la mayoría de las políticas públicas se inspira en ellas.

Una política útil dice a quien reporta tres cosas: qué se puede probar y qué no, cuánto tarda la empresa en responder en cada etapa, y qué pasará con su reporte. Sin plazos escritos, el investigador no sabe si lo están ignorando y la empresa no tiene cómo demostrar que cumplió.

Un archivo security.txt, descrito en el RFC 9116, es la forma estándar de decir dónde reportar: se publica en una ruta conocida del sitio web de la empresa. Exige dos campos, un contacto y una fecha de caducidad, y admite otros opcionales como la política y los idiomas preferidos.

La caducidad existe para que nadie encuentre un contacto abandonado. Un archivo cuya fecha ya pasó le dice a quien reporta que el canal puede no estar vigente. Abre security.txt y compara cada fecha con hoy, 2026-10-07.

El primer plazo de la política es el más sencillo y el que más se incumple: responder que se recibió el reporte. Cuenta desde la recepción hasta el acuse; si todavía no hay acuse, se cuenta hasta hoy. Un reporte sin respuesta durante días es lo que lleva a un investigador a publicar por su cuenta.

Lee el plazo de acuse en politica-de-divulgacion.txt y compara las fechas de reportes.csv. Hoy es 2026-10-07 y los días son corridos.

La política fija un plazo máximo para corregir o, al menos, para presentar un plan con fecha. Ese reloj también corre desde la recepción y conviene tenerlo escrito en el ticket de cada reporte, para que no dependa de que alguien lo recuerde.

Calcula con el reporte que está en corrección: suma el plazo de la política a su fecha de recepción. Escribe la fecha en formato año-mes-día.

Entre los reportes hay uno que lleva días sin ninguna respuesta de Ruibarbo. No es grave en sí mismo, pero es el tipo de descuido que termina en una publicación pública con tono de queja. Lo que importa es cómo se repara: rápido, con honestidad y aprendiendo del retraso.