Política de seguridad
Nos tomamos en serio los informes de seguridad y queremos conocer cualquier debilidad que encuentres en ACCE Investments. Esta página explica cómo contactarnos y qué puedes esperar.
Informar de una vulnerabilidad
Escríbenos con el asunto "Security report" a [email protected]
Por favor, incluye:
- La URL, el endpoint o la función afectada
- Los pasos para reproducir el problema
- El impacto observado: qué podría leer, cambiar o hacer un atacante
- Cualquier solicitud de prueba de concepto o captura de pantalla
Procuramos acusar recibo en un plazo de 5 días laborables y mantenerte informado hasta que el problema quede resuelto.
Programa de recompensas
ACCE Investments no tiene un programa de recompensas de pago. No pagamos por los informes ni hablamos de pagos antes de que un hallazgo haya sido divulgado y verificado. Con tu permiso, reconocemos públicamente los informes válidos.
Reglas para las pruebas
- Prueba solo con tu propia cuenta. No accedas, modifiques ni elimines datos de otros usuarios.
- No realices pruebas de denegación de servicio, de carga o de spam, ni escaneos automatizados que degraden el servicio.
- No uses ingeniería social ni phishing contra nuestro equipo o nuestros usuarios.
- Danos un tiempo razonable para corregir el problema antes de divulgarlo públicamente.
Fuera del alcance
Lo siguiente no se considera en general una vulnerabilidad, salvo que demuestres un impacto real:
- La clave anon de Supabase o la clave publicable de Stripe visibles en el código del cliente. Ambas son públicas por diseño; el acceso a los datos se controla en el servidor.
- Cabeceras de seguridad o atributos de cookies ausentes sin un exploit funcional
- Configuración de SPF, DKIM o DMARC
- Clickjacking en páginas sin acciones sensibles
- Divulgación de versiones de software
- Limitación de peticiones en endpoints no sensibles
- Informes de escáneres automatizados sin un problema verificado y reproducible
Datos de contacto en formato máquina: /.well-known/security.txt