Seguridad

El equipo de Dart se toma muy en serio la seguridad de Dart y de las aplicaciones creadas con él. Esta página describe cómo reportar cualquier vulnerabilidad que encuentres y enumera las mejores prácticas para minimizar el riesgo de introducir una vulnerabilidad.

La estrategia de seguridad de Dart se basa en cinco pilares clave:

• Identificar: Realiza un seguimiento y prioriza los riesgos clave de seguridad identificando los activos principales, las amenazas clave y las vulnerabilidades.
• Detectar: Detecta e identifica vulnerabilidades utilizando técnicas y herramientas como el escaneo de vulnerabilidades, las pruebas estáticas de seguridad de aplicaciones y el fuzzing.
• Proteger: Elimina riesgos mitigando vulnerabilidades conocidas y protege los activos críticos contra amenazas de origen.
• Responder: Define procesos para reportar, priorizar y responder a vulnerabilidades o ataques.
• Recuperar: Desarrolla capacidades para contener un incidente y recuperarte de él con el menor impacto posible.

Para reportar un problema de seguridad, usa https://g.co/vulnz. La coordinación y divulgación ocurren en los repositorios de GitHub de dart-lang (incluyendo los avisos de seguridad de GitHub). Por favor, incluye una descripción detallada del problema, los pasos que seguiste para reproducir el problema, las versiones afectadas y cualquier mitigación para el mismo. El equipo de seguridad de Google responderá dentro de los 5 días hábiles posteriores a tu reporte en g.co/vulnz.

Para obtener más información sobre cómo Google maneja los problemas de seguridad, consulta la filosofía de seguridad de Google.

Si crees que un problema existente está relacionado con la seguridad, te pedimos que lo reportes a través de https://g.co/vulnz e incluyas el ID del problema en tu reporte.

Nos comprometemos a publicar actualizaciones de seguridad para la versión de Dart correspondiente a la versión estable más reciente de Dart.

Tratamos los problemas de seguridad de manera equivalente a un nivel de prioridad P0 y lanzamos una versión beta o un parche de corrección para cualquier problema de seguridad importante encontrado en la versión estable más reciente del Dart SDK. Cualquier vulnerabilidad reportada para los sitios web de Dart como dart.dev no requiere un lanzamiento y se corregirá en el propio sitio web.

Dart no tiene un programa de recompensas por errores (bug bounty).

Dependiendo del problema y de la versión de corrección, se hará un anuncio en la lista de correo dart-announce.

• Mantente al día con las últimas versiones del Dart SDK. Actualizamos Dart con regularidad, y estas actualizaciones podrían corregir fallos de seguridad descubiertos en versiones anteriores. Consulta el registro de cambios de Dart para ver las actualizaciones relacionadas con la seguridad.

• Mantén actualizadas las dependencias de tu aplicación. Asegúrate de actualizar las dependencias de tus paquetes para mantenerlas al día. Evita fijar versiones específicas para tus dependencias y, si lo haces, asegúrate de comprobar periódicamente si tus dependencias han recibido actualizaciones de seguridad y actualiza la versión fijada en consecuencia.