Seguridad
Cómo reportar una vulnerabilidad en este sitio, qué incluir, qué esperar de nosotros y qué hacemos para proteger tus datos.
En 30 segundos
Si encontraste una falla
Escríbenos a legal@falcani.com con lo que viste y cómo repetirlo. Lo leemos, lo corregimos y, si quieres, te avisamos cuando esté resuelto.
Cómo actuar
Prueba solo lo tuyo, no accedas a datos de otras personas, no satures el sitio y danos tiempo para corregirla antes de contarla en público. Si actúas de buena fe, no emprenderemos acciones legales contra ti.
Dónde está el contacto
El archivo security.txt, en la dirección estándar /.well-known/security.txt, trae el contacto y la fecha hasta la que es válido, para que las herramientas y los investigadores lo encuentren solos.
Qué hacemos nosotros
Conexiones cifradas, validación en el servidor, verificación contra programas automáticos y límite de envíos. No guardamos contraseñas ni pagos: el sitio no tiene cuentas.
Prepara tu reporte
Completa lo que sepas. Armamos el texto del correo; no enviamos nada desde aquí.
Tu correo
- Para
- legal@falcani.com
- Asunto
- Reporte de seguridad
Dónde: (sin llenar) Pasos para repetirlo: (sin llenar) Impacto: (sin llenar)
Texto completo
1. Cómo reportar una vulnerabilidad
Si crees que encontraste una falla de seguridad en este sitio, escríbenos a legal@falcani.com. El mismo contacto está en el archivo security.txt, que sigue el estándar RFC 9116 y lo ofrece en una dirección fija para que cualquier herramienta lo encuentre.
Para que podamos actuar rápido, incluye:
- Qué viste y en qué página o ruta.
- Los pasos para repetirlo.
- Qué impacto crees que tiene.
- Cómo podemos contactarte, si quieres una respuesta.
2. Qué esperar de nosotros
- Leeremos tu reporte y te responderemos para confirmar que lo recibimos. No prometemos un plazo de horas.
- Revisaremos la falla y la corregiremos según su gravedad.
- Si quieres, te avisaremos cuando esté resuelta y, si lo deseas, reconoceremos tu aporte.
3. Reglas de buena fe
Para que tu investigación sea segura para todos, pedimos que:
- Pruebes solo con tus propios datos y no accedas, modifiques ni borres datos de otras personas.
- No hagas pruebas que saturen el sitio ni ataques de denegación de servicio.
- No uses ingeniería social ni phishing contra el equipo ni contra otras personas.
- Nos des un tiempo razonable para corregir la falla antes de divulgarla.
Si actúas de buena fe y según estas reglas, no emprenderemos acciones legales contra ti por tu investigación.
4. Qué está dentro y fuera de alcance
Dentro del alcance está este sitio y sus rutas de API. Fuera del alcance están los servicios de terceros que usa (Clientary, ZeptoMail, Cloudflare, Vercel y Upstash): repórtalos a sus propietarios. Tampoco son vulnerabilidades los problemas sin impacto en la seguridad, como la falta de una cabecera sin efecto práctico, ni los reportes de escáneres automáticos sin una prueba de impacto.
5. Qué hacemos para proteger tus datos
- Las conexiones al sitio usan HTTPS.
- Los formularios validan en el servidor todo lo que reciben.
- Cloudflare Turnstile verifica que quien envía es una persona.
- Un límite de envíos por visitante frena los abusos; para contarlo usamos un identificador derivado de la IP, nunca la IP misma.
- El sitio no tiene cuentas ni contraseñas ni procesa pagos.
Pendiente de revisión
Este texto es un borrador. Falta confirmar: que legal@falcani.com sea el buzón para reportes de seguridad o abrir uno propio, si falcani ofrecerá reconocimiento o recompensas, y la fecha de vencimiento del archivo security.txt, que debe renovarse antes de que llegue.