Seguridad y divulgación responsable

Cómo protegemos la plataforma

• Doble factor obligatorio (TOTP) para entrar en la consola, con protección frente a reutilización de códigos.
• Roles separados (superadministrador, administrador y usuario) y restricción opcional del acceso por IP para cada empresa.
• Scripts firmados: el agente solo ejecuta scripts de remediación de un catálogo firmado con Ed25519, con una clave que no está en el servidor.
• Vault de conocimiento cero: las contraseñas se cifran en tu dispositivo con AES‑256‑GCM; el servidor solo guarda datos cifrados.
• Avisos firmados: los webhooks salientes van firmados con HMAC para que puedas comprobar que vienen de Shugo.
• Registro de auditoría con filtros y exportación a CSV.

Has encontrado una vulnerabilidad

Gracias por avisarnos. Escríbenos a info@shugo.es con el asunto «Vulnerabilidad en Shugo» e incluye:

• Qué componente está afectado (web, consola, agente, extensión o app móvil) y su versión si la conoces.
• Los pasos para reproducirla y el impacto que crees que tiene.
• Cómo podemos contactar contigo si necesitamos más detalles.

Nuestro compromiso

• Confirmaremos que hemos recibido tu aviso y te mantendremos informado mientras lo corregimos.
• Trataremos tu informe con confidencialidad y te avisaremos cuando el fallo esté resuelto.

Pautas

• No accedas, modifiques ni borres datos de otros clientes; usa solo cuentas propias o de prueba.
• No hagas pruebas de denegación de servicio, ingeniería social ni ataques físicos.
• Danos un plazo razonable para corregir el fallo antes de hacerlo público.

También publicamos estos datos en formato estándar en /.well-known/security.txt.