Política de divulgación de vulnerabilidades
¿Cree haber encontrado un fallo de seguridad en GetAff? Escríbanos antes de hacerlo público: así puede hacerlo, esto es lo que está cubierto y esto es lo que nos comprometemos a hacer.
Última actualización:
Notificar una vulnerabilidad
Escriba a security@getaff.org. Describa el problema, los pasos para reproducirlo, el impacto que estima y, si es posible, una prueba de concepto. Puede escribirnos en español, inglés, francés o alemán.
No incluya en su mensaje datos personales de terceros que haya podido ver: descríbalos en su lugar.
Alcance
Incluidos: el sitio www.getaff.org, la API pública (/api/v1) y el servidor MCP (/api/mcp), junto con los puntos de autenticación que los sirven (OAuth, claves de API).
Excluidos: los servicios de terceros que utilizamos (Stripe, Google Cloud, Cloudflare…), que deben notificarse a su proveedor; los ataques de denegación de servicio; la ingeniería social dirigida a nuestro equipo o a nuestros usuarios; los informes de herramientas automáticas sin impacto demostrado.
Reglas de prueba
Pruebe solo con cuentas propias. No acceda a datos de otros usuarios, ni los modifique o elimine: deténgase en cuanto el fallo quede demostrado. No degrade el servicio ni envíe volúmenes de peticiones que puedan perturbarlo.
Dénos tiempo para corregirlo antes de cualquier publicación; acordaremos una fecha con usted.
Puerto seguro
Si respeta esta política, consideramos su investigación autorizada: no emprenderemos ni apoyaremos acciones legales contra usted por ella y, si un tercero lo hiciera, haremos saber que actuó conforme a esta política.
Nuestro compromiso
Acusar recibo de su notificación en un plazo de 5 días hábiles, mantenerle informado de su tratamiento y, si lo desea, reconocer públicamente su aportación una vez corregido el fallo. No ofrecemos recompensas económicas.