1. Reportar una vulnerabilidad

Para reportar una vulnerabilidad de seguridad, envíanos un correo a: [email protected]

Usa el asunto: [Informe de vulnerabilidad de seguridad]

Por favor incluye en tu informe:

• Una descripción clara de la vulnerabilidad y su impacto potencial
• Instrucciones paso a paso para reproducir el problema
• La URL, endpoint o componente afectado
• Código de prueba de concepto o capturas de pantalla (opcional pero útil)
• Tu información de contacto para que podamos responderte

2. Nuestro compromiso contigo

Cuando reportas una vulnerabilidad de buena fe, nos comprometemos a:

• Confirmar tu reporte en un plazo de 48 horas
• Proporcionarte actualizaciones regulares sobre nuestro progreso
• Trabajar para resolver las vulnerabilidades confirmadas lo antes posible
• Notificarte cuando el problema haya sido resuelto
• No emprender acciones legales contra investigadores que sigan las pautas de divulgación responsable
• Acreditarte en nuestros reconocimientos (si lo deseas)

3. Pautas de divulgación responsable

Pedimos a los investigadores de seguridad que:

• No accedan, modifiquen, copien ni eliminen datos de otros usuarios
• No realicen ataques de denegación de servicio (DoS)
• No utilicen escáneres automáticos contra nuestra infraestructura sin permiso previo
• No intenten ingeniería social, phishing ni ataques físicos contra nuestro equipo
• Nos den tiempo razonable para corregir el problema antes de cualquier divulgación pública (solicitamos 90 días)
• No divulguen públicamente los detalles de la vulnerabilidad hasta que hayamos publicado una corrección
• Solo realicen pruebas al mínimo necesario para confirmar la vulnerabilidad

4. Alcance

Dentro del alcance

Lo siguiente está dentro del alcance de la divulgación responsable:

• La aplicación web FactCheckTool.com
• Nuestros endpoints de API backend
• Sistemas de autenticación y gestión de cuentas
• Pipeline de carga y procesamiento de archivos
• Nuestro flujo de pagos

Fuera del alcance

Lo siguiente está fuera del alcance de esta política:

• Servicios de terceros que usamos
• Ataques de ingeniería social o phishing
• Seguridad física de nuestra infraestructura
• Ataques de denegación de servicio o volumétricos
• Suplantación de correo o spam sin impacto demostrado

5. security.txt

Mantenemos un archivo security.txt estándar en /.well-known/security.txt conforme al RFC 9116.