Dónde reportar
Escribinos a fragorstudios@gmail.com con la palabra Seguridad en el asunto. Es la casilla de siempre y la lee una persona.
Si el reporte incluye datos sensibles, decilo en el primer mensaje sin adjuntar nada: arreglamos un canal cifrado antes de que los mandes. [Clave PGP a publicar]
Qué incluir en el reporte
La dirección exacta o la parte del sitio afectada.
Los pasos para reproducirlo, en orden. Una captura o un video corto valen más que tres párrafos.
Qué se puede lograr con la falla: leer datos ajenos, ejecutar código, saltear un control.
El navegador y el sistema donde lo probaste, con la fecha y la hora aproximadas.
Cómo querés que te nombremos si publicamos un agradecimiento, o si preferís quedar anónimo.
Qué te prometemos
Acusamos recibo dentro de las 72 horas. Si en tres días no tuviste respuesta, insistí: se perdió el mensaje.
Después te contamos qué encontramos al revisar, si lo vamos a arreglar y en qué plazo estimado.
No vamos a iniciar acciones legales ni pedir sanciones contra quien investigue de buena fe y respete esta política. Buena fe quiere decir: no tocar datos de terceros más allá del mínimo para demostrar la falla, no borrar ni modificar nada, no interrumpir el servicio y no publicar el detalle antes de que esté arreglado.
Te pedimos noventa días para arreglarlo antes de que lo hagas público. Si necesitamos más, te lo decimos y lo hablamos.
Qué está fuera de alcance
Ataques de denegación de servicio, pruebas de carga y cualquier cosa que degrade el servicio para los demás.
Ingeniería social contra nosotros, contra clientes o contra proveedores, y campañas de phishing.
Spam, envío masivo de mensajes y abuso de la casilla de contacto.
Acceso físico a equipos, y ataques que requieran una máquina ya comprometida o un navegador sin actualizar hace años.
Salidas de escáner automático sin impacto demostrado: falta un encabezado, una librería está una versión atrás, un dominio que no manda correo no tiene SPF. Si tenés un caso concreto que lo aproveche, contanos ese caso.
Sitios de clientes que no administramos nosotros. Escribile al dueño del sitio; si nos avisás, hacemos el puente.
Recompensas y reconocimiento
No tenemos programa de recompensas. Somos un estudio chico y no podemos pagar por reportes: preferimos decirlo de frente antes que hacerte perder el tiempo.
Lo que sí hacemos es agradecerte en público, con tu nombre y un enlace, si querés. Si preferís que no figure nada, no figura nada.
Cambios y dudas
Esta política puede cambiar; la fecha de arriba dice cuándo fue la última vez. Es un compromiso escrito sobre cómo vamos a tratar tu reporte, no un contrato ni asesoramiento legal.
Si tenés dudas sobre el alcance, preguntá antes de probar: fragorstudios@gmail.com.