Estas son declaraciones positivas, no normativas:
- La mayoría de los sitios web hacen un mal trabajo con seguridad.
- La mayoría de los sitios web manejan la comunicación de seguridad muy lentamente. Espere una declaración sobre el plazo de semanas a meses, no de horas a días, después de que se detecte un exploit.
- Heartbleed es una hazaña atípica. En teoría, todos los secretos de un sitio web están sujetos a extracción. En la práctica, no está claro qué era accesible y es aún menos claro si realmente se extrajo algo.
- Debido a que es imposible saber qué secretos (si alguno) se vieron comprometidos, es difícil formular consejos para sus clientes. Usted les dice que necesitan restablecer su contraseña y cancelar sus tarjetas de crédito, en masa, o no hacer ninguna recomendación específica. No hay término medio, dado que no conocemos el alcance de ningún uso.
Si ejecuté una comunicación de seguridad para un sitio, publicaría una publicación de blog reconociendo si utilizamos o no la versión defectuosa de OpenSSL, pero no sugeriría ningún curso de acción en particular en nombre de mis usuarios.