Compromiso
Nos tomamos la seguridad en serio. Si encuentras una vulnerabilidad, queremos saberlo para corregirla antes de que cause daño. Esta página explica cómo reportarla y qué puedes esperar.
Contacto
Escribe a hola@diomu.es con el asunto “Seguridad”. Incluye una descripción, los pasos para reproducir el problema, el impacto que crees que tiene y, si quieres, una prueba de concepto. No adjuntes datos personales de terceros.
Alcance
Nos interesan especialmente:
- Fallos de autenticación, sesión o 2FA.
- Acceso a datos de otras personas por fallos de RLS o de la API.
- Ejecución remota de código, inyección o subida de archivos peligrosos.
- Filtración de secretos o credenciales.
- Saltarse la moderación o los límites de Nixo.
Fuera de alcance
- Ataques de denegación de servicio o pruebas de carga.
- Ingeniería social, phishing o acceso físico.
- Vulnerabilidades en servicios de terceros como Supabase o Cloudflare, que deben reportarse a ellos.
- Spam, fuerza bruta masiva o escaneos automáticos sin permiso.
- Problemas que solo afectan a versiones antiguas de un navegador sin soporte.
Reglas de investigación
- No accedas a datos que no sean tuyos ni los guardes, copies o publiques.
- No interrumpas el servicio ni degradES la experiencia de otras personas.
- No uses técnicas que puedan causar daño a personas o infraestructura.
- Danos un plazo razonable para corregir antes de publicar detalles.
- No extorsiones, no pidas recompensas y no vendas el hallazgo.
Qué haremos
Acusaremos recibo en un plazo orientativo de 3 días laborables y te mantendremos informado. Trabajaremos en la corrección y, si procede, te acreditaremos. No tenemos un programa de recompensas económicas en este momento.
Salvoconducta
Si actúas de buena fe, respetas esta página y no causan daño, no iniciaremos acciones legales contra ti por la investigación. Esta salvoconducta no cubre abusos, extorsión, acceso a datos personales ni daños a terceros.
Divulgación
Coordinaremos contigo la divulgación responsable. Preferimos que esperes a que la corrección esté desplegada. Si no respondemos en un plazo razonable, puedes escalar el caso, pero sin publicar datos personales ni instrucciones que pongan a otros en riesgo.