Seguridad

1. Cómo denunciar una vulnerabilidad

2. Qué incluir

• Qué encontraste, y por qué importa: el impacto, no solo la técnica.
• Pasos precisos para reproducirlo, con la URL, la cuenta utilizada y la hora.
• Una prueba de concepto limitada a lo que demuestra el problema.
• Cómo te gustaría que te acreditáramos, si así lo deseas.

3. Alcance

• Fuera del alcance: servicios de terceros que utilizamos pero no operamos; denúncialos a sus propios programas.
• Fuera del alcance: hallazgos de escáneres automatizados sin impacto demostrado, la mera ausencia de cabeceras de refuerzo, o informes que se limitan a señalar que existe un límite de frecuencia.
• Fuera del alcance: la ingeniería social contra nuestro equipo o nuestros usuarios, los ataques físicos, y cualquier cosa que degrade el servicio para otros.

4. Normas de actuación y puerto seguro

• Utiliza únicamente tus propias cuentas y tus propios datos. Detente ante el primer indicio de que puedes acceder a los de otra persona.
• No exfiltres, modifiques ni destruyas datos; una captura de pantalla que demuestre el acceso es suficiente.
• Nada de denegación de servicio, nada de pruebas de carga, nada de spam.
• Danos un tiempo razonable para corregir un problema antes de publicarlo, y coordina los plazos con nosotros.

5. Qué hacemos a cambio

• Confirmamos la recepción de un informe en un plazo de 5 días hábiles.
• Te comunicamos nuestra evaluación y un plazo de corrección en un plazo de 10 días hábiles.
• Te mantenemos informado hasta que se corrija, y te acreditamos si así lo deseas.

6. Cómo se protege el servicio

• HTTPS en todas partes, HSTS, y una política de seguridad de contenido que prohíbe los controladores de eventos en línea.
• Las contraseñas se hashean con bcrypt a 12 rondas; las sesiones son JWT firmados, fijados a un único algoritmo.
• Limitación de frecuencia en la autenticación, en la API, y por separado en los endpoints sin autenticación.
• El inicio de sesión entre dominios utiliza códigos de autorización de corta duración y un solo uso, en lugar de tokens en las URL.
• Los archivos subidos se validan por sus bytes mágicos, se les eliminan los metadatos EXIF, y se sirven desde una ruta aislada; el SVG se rechaza en cualquier caso en que un archivo pudiera convertirse en un documento.
• Los archivos de activos de pago se almacenan fuera del árbol público, de modo que es el pago —y no la ocultación— lo que los desbloquea.

7. Incidentes de datos y privacidad