POLÍTICA DE DIVULGACIÓN RESPONSABLE DE VULNERABILIDADES
Última actualización: 13 de noviembre de 2026

Agradecemos a quienes nos ayudan a mantener Ciberkit seguro.

1. CÓMO INFORMAR
Escribe a [CORREO DE SEGURIDAD] con:
- Descripción de la vulnerabilidad y su impacto.
- Pasos para reproducirla y, si es posible, una prueba de concepto.
- URL o componente afectado y fecha de la prueba.
Responderemos en un máximo de 5 días hábiles.

2. ALCANCE
- La aplicación web de Ciberkit y su API (/api/*).
- El flujo de cuentas: registro, inicio de sesión, MFA, recuperación de contraseña y planes.

3. FUERA DE ALCANCE
- Servicios de terceros (Supabase, Vercel, Lemon Squeezy, Google, Resend) salvo que el fallo esté en nuestra integración.
- Denegación de servicio, pruebas de carga o fuerza bruta masiva.
- Ingeniería social y ataques físicos.
- Informes de escáneres automáticos sin impacto demostrado, ausencia de cabeceras sin impacto práctico o versiones de software sin vulnerabilidad explotable.

4. REGLAS
- Usa solo tus propias cuentas de prueba; no accedas, modifiques ni borres datos de otros usuarios.
- Detén la prueba en cuanto demuestres el impacto.
- No divulgues públicamente el fallo hasta que lo hayamos corregido o hayan pasado 90 días desde tu informe.

5. NUESTRO COMPROMISO
Si respetas estas reglas, no emprenderemos acciones legales por tu investigación, te mantendremos informado de la corrección y, si lo deseas, te reconoceremos públicamente. Por ahora no ofrecemos recompensas económicas.