Seguridad

Política de divulgación coordinada de vulnerabilidades

En Keya nos tomamos en serio la seguridad de nuestros productos. Si cree que ha encontrado una vulnerabilidad en alguno de ellos, le agradecemos que nos la comunique. Esta política explica cómo hacerlo y qué puede esperar de nosotros.

Alcance

Esta política se aplica a los productos con elementos digitales de Keya y a su software asociado:

Cerraduras electrónicas Tronic PRO, Tronic MIFARE y Keya Konnect, y su firmware.
Aplicación móvil Keya Konnect y software Keya Control.
Servicio KLMS Cloud.

Quedan fuera del alcance los sistemas corporativos de Keya (web, correo, sistemas internos) y los productos de terceros. Las vulnerabilidades en componentes de terceros que afecten a nuestros productos sí están dentro del alcance.

Cómo informar

Envíe su informe a security@keyalocks.com. Incluya, si es posible:

Producto, modelo y versión de firmware o de software afectados.
Descripción de la vulnerabilidad y de su posible impacto.
Pasos para reproducirla o una prueba de concepto.
Si tiene constancia de que se está explotando activamente.
Sus datos de contacto y si desea que le mencionemos públicamente.

Puede escribirnos en español, catalán o inglés. No envíe datos personales de terceros salvo que sean imprescindibles.

Nuestro compromiso

Acusaremos recibo en un plazo de 3 días laborables.
Le daremos una primera evaluación en un plazo de 10 días laborables.
Le mantendremos informado del avance hasta su resolución.
Trataremos de corregir las vulnerabilidades confirmadas en un plazo de 90 días, según su gravedad y complejidad. Las actualizaciones de seguridad son gratuitas durante el periodo de soporte de cada producto.
Si nos lo permite, reconoceremos públicamente su contribución.

Divulgación coordinada

Le pedimos que no publique la vulnerabilidad hasta que exista una corrección o hayamos acordado una fecha con usted. Cuando la corrección esté disponible, publicaremos un aviso de seguridad con la descripción, los productos afectados, la gravedad y las medidas a tomar.

Conforme al Reglamento (UE) 2024/2847 (Cyber Resilience Act), Keya notifica las vulnerabilidades explotadas activamente y los incidentes graves a INCIBE-CERT y a ENISA. También puede informar de una vulnerabilidad directamente a INCIBE-CERT.

Investigación de buena fe

No emprenderemos acciones legales contra quien investigue y nos informe de buena fe siguiendo esta política. Le pedimos que:

Pruebe solo con productos de su propiedad o con autorización de su propietario.
No acceda, modifique ni borre datos de otras personas más allá de lo imprescindible para demostrar la vulnerabilidad.
No realice ataques de denegación de servicio, ingeniería social ni daños físicos a instalaciones.
No pida un pago a cambio de la información. Keya no tiene programa de recompensas.

Última actualización: 09/11/2026