🛡️ Política de Divulgación de Seguridad

1. Nuestro Compromiso

En Tracert System EAS, la seguridad no es una característica accesoria: es el núcleo de nuestra arquitectura. Reconocemos y valoramos el trabajo de los investigadores de seguridad éticos que nos ayudan a mantener la integridad, inmutabilidad y soberanía del ecosistema Camaleón 6GL, nuestros Smart Contracts Web3 y el entorno de desarrollo Queen & King IDE.

2. Alcance de la Investigación (Scope)

Agradecemos y analizamos reportes relacionados con:

• Vulnerabilidades en el compilador Camaleón 6GL y el motor en tiempo de ejecución (Paparai Core C).
• Fallas en la gestión criptográfica en memoria volátil (ej. bypasses del protocolo memset destructivo o fugas de claves privadas).
• Vulnerabilidades en Smart Contracts descentralizados desplegados en Mainnet o redes de prueba.
• Problemas de seguridad en la distribución de Queen & King IDE (instalador .exe y paquete .jar).
• Fallas en la API Central y validación del encabezado X-Camaleon-Token.
• Debilitaciones en la integridad de la Bóveda Forense (ISO/IEC 27037).

3. Cómo Reportar

Envía tu reporte cifrado (preferiblemente firmado con nuestra clave PGP) al equipo de ciberseguridad:

Por favor, incluye en tu reporte:

1. Descripción técnica detallada de la vulnerabilidad identificada.
2. Pasos reproducibles (Prueba de Concepto - PoC) o evidencia técnica.
3. Estimación del impacto potencial (Confidencialidad, Integridad o Disponibilidad).
4. Tu nombre o seudónimo si deseas ser acreditado públicamente en nuestro Salón de la Fama.

4. Reglas de Compromiso y Puerto Seguro (Safe Harbor)

Tracert System EAS se compromete formalmente a no iniciar acciones legales ni penales contra investigadores que:

• Actúen de buena fe y eviten la violación de privacidad, alteración de datos de terceros o interrupción intencional de servicios.
• Reporten la vulnerabilidad de manera confidencial y responsable antes de cualquier divulgación pública.
• Otorguen un plazo razonable de remediación (mínimo 90 días) previo a la publicación de avisos técnicos.

5. Conductas No Permitidas

• Ataques volumétricos o de denegación de servicio (DoS / DDoS) contra nuestra infraestructura de nodos.
• Ingeniería social, spear-phishing o extorsión contra personal, socios o usuarios de la plataforma.
• Acceso, alteración, retención o filtración de datos de usuarios reales o llaves privadas ajenas.
• Uso de la vulnerabilidad para beneficio económico ilícito o explotación destructiva.

6. Reconocimiento y Salón de la Fama

Los investigadores éticos que reporten hallazgos válidos y nos asistan en la remediación serán reconocidos en nuestro Salón de la Fama Oficial.

7. Clave Criptográfica PGP Oficial

Para enviar comunicaciones cifradas al canal de seguridad, puedes descargar y verificar nuestra llave pública OpenPGP oficial en:

Ver Llave Pública PGP (pgp-key.txt)