Política de divulgación de vulnerabilidades

Si encuentra un fallo de seguridad en nuestra infraestructura, queremos saberlo. Esta página define qué actividad autorizamos y cómo responderemos, porque en Panamá esa autorización no es un detalle de cortesía.

Por qué existe esta política

El Título VIII del Código Penal panameño sanciona el acceso, la apropiación y la interceptación indebidos de sistemas y datos, y la Ley 478 de 2025 amplió esas figuras. La norma no contempla una excepción para la investigación de seguridad ni una defensa de buena fe. Lo que separa una prueba legítima de un delito es la autorización.

Este documento es esa autorización, dentro de los límites que aquí se describen. Fuera de ellos, no la hay.

Alcance autorizado

• tec.pa y sus subdominios públicos.
• teccyber.pa, tec.com.pa y teccyber.com.pa.
• Nuestros registros DNS y nuestra configuración de correo.

Actividad autorizada

• Reconocimiento pasivo y análisis de configuración.
• Pruebas manuales que no degraden el servicio.
• Prueba de concepto mínima, suficiente para demostrar el fallo y nada más.

Actividad no autorizada

• Denegación de servicio, pruebas de carga o cualquier acción que afecte a la disponibilidad.
• Ingeniería social contra nuestro personal, clientes o proveedores.
• Acceso, descarga, modificación o conservación de datos que no sean suyos. Si tropieza con datos personales, deténgase y avísenos.
• Ataques físicos o contra terceros que alojen parte de nuestra infraestructura.
• Pruebas sobre sistemas de nuestros clientes. No están cubiertas por esta política bajo ninguna circunstancia.
• Divulgación pública antes del plazo acordado.

Cómo reportar

Escriba a seguridad@tec.pa. Incluya una descripción del fallo, los pasos para reproducirlo, el impacto que estima y cualquier material de apoyo. Puede escribir en español o en inglés.

Si el contenido es sensible, pídanos una clave pública en ese mismo correo y le respondemos con ella antes de que envíe el detalle.

Qué puede esperar de nosotros

No ofrecemos recompensas económicas. Sí ofrecemos reconocimiento público si usted lo desea, y una respuesta técnica seria.

Nuestro compromiso

Si actúa de buena fe y dentro del alcance y las condiciones de esta política, no emprenderemos ni promoveremos acciones legales en su contra por esa actividad, y así lo haremos constar si un tercero lo cuestiona.

Este compromiso alcanza únicamente a nuestros propios sistemas. No podemos otorgar autorización sobre infraestructura de terceros, incluidos nuestros proveedores de alojamiento, cuyas políticas debe respetar.