La seguridad en OpenWAF
Cómo protegemos el servicio y las webs de tus clientes, y cómo comunicarnos una vulnerabilidad.
Hecho para fallar de forma segura
Cómo está montado OpenWAF hoy, sin adornos.
Datos en la UE
Los nodos de borde y los servidores DNS están en Hetzner, en Alemania. Los datos de los clientes se guardan en la UE (Alemania).
Configuración firmada
Los documentos de configuración se firman con Ed25519; los nodos de borde rechazan lo que no verifica.
Última configuración válida
Los nodos siguen sirviendo con la última configuración válida si el plano de control no responde.
Primario DNS oculto
El servidor DNS primario no está expuesto a Internet; solo responden los secundarios públicos.
Control de cambios
Cada cambio se versiona, necesita un motivo y queda en el registro de auditoría. Volver atrás es un paso.
Tokens de la API
Solo guardamos su huella; tienen un rol y una fecha de caducidad y se pueden revocar.
TLS en todo el camino
Los visitantes llegan al borde por TLS con certificados gestionados, y los nodos descargan su configuración por TLS.
Una web discreta
Esta web no pone cookies, no carga nada de terceros y se sirve con una política de seguridad de contenidos (CSP) estricta.
Comunica una vulnerabilidad
Si crees que has encontrado una vulnerabilidad de seguridad en OpenWAF, cuéntanoslo. Leemos todos los avisos.
Cómo avisarnos
Escribe a [email protected] en español o en inglés. Nuestro security.txt da el mismo contacto. Incluye:
- una descripción del problema y de su impacto;
- los pasos para reproducirlo, con los nombres o URL afectados;
- cómo contactarte y si quieres que te demos el crédito.
Reglas
- Actúa de buena fe
Prueba solo con cuentas y webs tuyas o que tengas permiso para probar.
- No toques datos ajenos
No accedas, cambies ni borres datos que no sean tuyos. Si te encuentras alguno, para y avísanos.
- No degrades el servicio
Nada de denegación de servicio, pruebas de volumen ni escaneos automáticos intensos, ni ingeniería social o ataques físicos.
- Danos tiempo
Déjanos un plazo razonable para corregirlo antes de hacerlo público.
- Nuestra parte
Te responderemos, te mantendremos al tanto y, si quieres, te daremos el crédito cuando esté corregido. No emprenderemos acciones legales por investigaciones hechas de buena fe siguiendo estas reglas. No tenemos programa de recompensas.
Dentro del alcance
openwaf.devy los subdominios que operamos- Nuestros servidores de nombres,
*.ns.openwaf.dev - Nuestros nodos de borde y la protección que aplican
- La API y la CLI
openwaf-cloud ctl
Fuera del alcance
- Las webs y servidores de origen de nuestros clientes: contacta con el dueño de la web
- Servicios de terceros: avisa a sus responsables
- Avisos sin impacto de seguridad, como recomendaciones de buenas prácticas sin un ataque posible
Para denunciar una web detrás de OpenWAF con phishing, malware u otros abusos, escribe a [email protected].