Divulgación de vulnerabilidades

Vaario trata contratos que las personas mantienen confidenciales, así que agradecemos los reportes de investigadores de seguridad que actúan de buena fe. Esta página explica cómo reportar, qué puedes probar y qué puedes esperar de nosotros.

Escribe a security@vaario.app. Por favor, incluye:

• en qué consiste la vulnerabilidad y el impacto que crees que tiene;
• los pasos exactos para reproducirla;
• la dirección, el endpoint o la pantalla afectados.

La aplicación web y la API que operamos en estas direcciones:

• vaario.app
• api.vaario.app

Esto queda fuera del alcance y no debe probarse:

• Los sistemas propios de nuestros proveedores (Amazon Web Services, Supabase, Vercel, Railway, Cloudflare, Resend). Repórtalos al proveedor.
• Ataques de denegación de servicio y pruebas de carga.
• Ingeniería social, phishing o ataques físicos contra personas con las que trabajamos o contra nuestros usuarios.
• Resultados de escáneres automáticos sin un impacto demostrado.
• Hallazgos de bajo impacto sin forma de explotarlos, como la falta de una cabecera por sí sola.

• Usa solo cuentas que sean tuyas y que hayas creado para la prueba.
• Detente en cuanto hayas demostrado el problema. No leas, copies, modifiques ni borres datos de otras personas. Si accedes a alguno por accidente, detente, bórralo de tus sistemas y cuéntanoslo en tu reporte.
• No dejes una vía de vuelta y no vayas más allá de lo necesario para demostrar el fallo.
• Mantén el hallazgo en privado hasta que lo hayamos corregido. Si pasan 90 días desde tu reporte sin respuesta ni corrección por nuestra parte, puedes publicarlo, avisándonos antes por escrito.
• Cumple la ley que te sea aplicable.

Si cumples estas reglas de buena fe, consideramos tu investigación autorizada. No emprenderemos acciones legales contra ti por ella ni pediremos a nadie más que lo haga.

No podemos hablar en nombre de terceros. Si tu prueba llega a los sistemas de un proveedor, ese proveedor decide por sí mismo, y las decisiones de una autoridad son suyas.

No tenemos un programa de recompensas y no pagamos por los reportes. Con tu acuerdo, podemos agradecértelo públicamente. Exigir un pago u otro beneficio a cambio de un reporte, o amenazar con publicarlo, pone fin a esta autorización.

Nos comprometemos a:

• confirmar que hemos recibido tu reporte en un máximo de cinco días hábiles;
• decirte si lo aceptamos como una vulnerabilidad;
• mantenerte informado sobre cuándo se corregirá;
• tratar tus datos personales como describe la política de privacidad.