Seguridad y divulgación de vulnerabilidades

Nos tomamos en serio la seguridad de payed.me y de los datos de nuestros usuarios. Si cree haber encontrado una vulnerabilidad, queremos saberlo.

Cómo notificarla

Escriba a support@payed.me con «Security» en el asunto. Incluya, por favor:

• la URL o función afectada;
• pasos claros para reproducir el problema;
• lo que un atacante podría conseguir realmente, con pruebas.

Procuramos confirmar la recepción de los informes válidos en un plazo de 5 días hábiles y le mantendremos informado mientras los corregimos.

Normas para una investigación de buena fe

• Realice pruebas solo con cuentas propias o que tenga permiso para usar.
• No acceda a datos de otros usuarios ni los modifique o elimine. Si llega a ellos por accidente, deténgase y avísenos.
• No realice ataques de denegación de servicio, spam ni ingeniería social, y no pruebe la seguridad física.
• Concédanos un plazo razonable para corregir un problema antes de hacerlo público.

Si respeta estas normas, no emprenderemos acciones legales contra usted por su investigación.

Recompensas por errores

No tenemos un programa de recompensas remunerado y no pagamos por informes no solicitados.Agradecemos la divulgación responsable, pero exigir un pago, o retener detalles hasta acordarlo, no cambiará cómo tratamos un informe.

Fuera del alcance

No consideramos vulnerabilidades por sí solos los siguientes casos:

• informes de escáneres automáticos sin un impacto explotable demostrado;
• clickjacking en páginas sin acciones sensibles, o cabeceras ausentes que solo son buenas prácticas;
• la configuración del correo (SPF, DKIM, DMARC) y la suplantación de correo;
• problemas que requieren un dispositivo comprometido, acceso físico o un navegador desactualizado;
• límites de frecuencia o fuerza bruta en endpoints que no son de autenticación;
• la revelación de versiones de software o mensajes de error descriptivos;
• vulnerabilidades en servicios de terceros que utilizamos, como Stripe.