Política de divulgación responsable

Un servicio que mueve dinero siempre acaba siendo probado, por personas bienintencionadas o no. Preferimos enterarnos de un fallo a través de un informe que de un incidente, y nos comprometemos a no perseguir a nadie por investigaciones realizadas de buena fe dentro del alcance aquí descrito.

No se ofrece recompensa económica en esta fase. No anunciamos un programa de recompensas que no pudiéramos honrar. Lo que ofrecemos es concreto: un acuse de recibo rápido, un interlocutor técnico, seguimiento hasta la corrección y reconocimiento público si lo deseas.

Dentro del alcance

• El sitio público y sus páginas de aplicación.
• Los endpoints de interfaz de programación expuestos públicamente.
• Los mecanismos de autenticación, sesión y restablecimiento de contraseña.
• Cualquier fallo que permita leer, alterar o desviar los datos de otro usuario.
• Cualquier fallo que permita modificar un importe, un beneficiario, un tipo o un estado de orden.
• Errores de configuración que expongan un secreto, una copia de seguridad o un entorno interno.

Fuera del alcance

• Los servicios propios de nuestros proveedores: notifícalos directamente al editor correspondiente, que gestiona su propio programa.
• Informes generados por un escáner automatizado sin prueba de explotabilidad.
• Hallazgos de cabeceras o configuración sin impacto demostrado: una cabecera recomendada ausente, una cookie sin atributo en contenido público.
• Ingeniería social contra nuestro personal, nuestros proveedores o nuestros usuarios.
• Denegación de servicio, inundación y pruebas de carga, en cualquier forma.
• Vulnerabilidades que requieran acceso físico a un dispositivo ya comprometido.

Estas reglas no son formalidades: definen exactamente lo que sigue cubierto por nuestro compromiso de no perseguir.

1. Utiliza solo tus propias cuentas y tus propios datos. Crea una segunda cuenta si necesitas probar el aislamiento entre usuarios.
2. Detente en cuanto se demuestre el acceso. No leas, copies o exfiltres datos pertenecientes a un tercero.
3. No degrades el servicio: nada de inundaciones, borrados o modificaciones de datos de producción que no sean tuyos.
4. No hagas público el fallo antes de que se corrija, o antes de que expire el plazo que acordemos conjuntamente.
5. Si llegas involuntariamente a datos personales, detente de inmediato, no los conserves y menciónalo en tu informe.

Un informe útil contiene cinco elementos: el componente afectado, el impacto real, los pasos de reproducción, una pieza mínima de evidencia y las marcas de tiempo de tus pruebas. El resto es comodidad.

Nunca incluyas en un informe datos personales de un tercero, un identificador real o un secreto completo. Una captura parcialmente redactada es suficiente para demostrar el acceso.

A continuación, recibirá una actualización del estado al menos cada dos semanas hasta el cierre, incluso cuando no haya nada nuevo que anunciar. El silencio es lo que empuja a un investigador a publicar: preferimos evitarlo.

• Confirmamos la corrección y le permitimos verificarla antes de cualquier cierre.
• Publicamos una nota de incidente cuando la falla podría haber expuesto datos, incluso si no se encuentra ningún abuso.
• Le acreditamos públicamente si lo desea, bajo el nombre o identificador de su elección, o no lo hacemos en absoluto si prefiere el anonimato.
• Acordamos una fecha de publicación con usted si desea redactar su propio análisis.