Arquitectura de seguridad, límites de informes y expectativas de divulgación responsable para el sitio web Lucius.
La entrega estática, la ausencia de cuentas y la ausencia de backend general reducen la exposición, pero no eliminan la necesidad de prácticas de seguridad cuidadosas.
La compilación de producción contiene páginas estáticas y recursos entregados a través de Cloudflare. En la versión actual no hay una base de datos de sitio web, un sistema de autenticación, un proceso de pago, un portal para pacientes ni un backend de formulario de contacto general.
Las respuestas de producción utilizan protección de tipo de contenido, restricciones de encuadre, controles de referencia, una política de seguridad de contenido y una política de permisos que desactiva capacidades innecesarias del dispositivo. Cloudflare proporciona entrega TLS, almacenamiento en caché perimetral y controles de seguridad del tráfico.
El sitio evita cuentas, información de pacientes, pagos en línea, rastreadores de publicidad y bases de datos de formularios. Las preferencias de idioma se almacenan localmente. Reducir la información personal almacenada reduce las consecuencias del compromiso de la capa de aplicación.
Los problemas de seguridad pueden iniciarse a través de la ruta de contacto hasta que se publique un buzón de correo de seguridad dedicado verificado. Incluye la URL afectada, comportamiento observado, fecha, navegador y pasos de reproducción segura. No acceda, descargue, conserve ni transmita datos personales, confidenciales o de pacientes.
No realice pruebas de denegación de servicio, análisis automatizados de gran volumen, ataques de credenciales, persistencia, implementación de malware, ingeniería social ni pruebas contra servicios de terceros. Deje de realizar pruebas si encuentra información confidencial e informe el problema sin incluir esa información.
Lucius puede solicitar aclaraciones, reproducir el problema, priorizar la solución y coordinar el momento de divulgación. Esta declaración no crea un programa de recompensas por errores, obligación de pago ni autorización para probar sistemas más allá del sitio web público Lucius.
