Política de divulgación responsable de vulnerabilidades

Escríbenos a contacto@stockai.es con el asunto «Vulnerabilidad: resumen breve». Incluye, si puedes:

• qué encontraste y en qué dirección o endpoint;
• los pasos para reproducirlo, y una prueba de concepto si la tienes;
• qué impacto crees que tiene;
• cómo quieres que te mencionemos, si quieres que lo hagamos.

También publicamos estos datos en stockai.es/.well-known/security.txt, siguiendo el estándar RFC 9116. Hoy no tenemos una clave PGP; si el informe contiene datos delicados, avísanos y acordamos cómo enviarlo.

• stockai.es (el sitio público);
• app.stockai.es (la aplicación);
• la API y el servidor MCP que se sirven desde app.stockai.es.

Usa tus propias cuentas: puedes registrarte gratis o usar una cuenta de prueba. Si necesitas dos cuentas para probar el aislamiento entre empresas, crea dos tuyas.

• ataques de denegación de servicio o pruebas de carga;
• ingeniería social a nuestro equipo o a nuestros clientes, y phishing;
• ataques físicos a oficinas o equipos;
• los servicios de nuestros proveedores (Hostinger, DeepSeek, Resend, Twilio): repórtaselos a ellos;
• informes de escáneres automáticos sin una explotación demostrada, y la falta de buenas prácticas sin impacto real (por ejemplo, una cabecera ausente que no se pueda explotar).

• No accedas, cambies ni borres datos que no son tuyos. Si te encuentras datos de otra persona, detente, no los guardes y avísanos.
• Respeta los límites de la API y no hagas pruebas que degraden el servicio para los demás.
• No uses lo que encuentres para nada más que demostrar el problema.
• Mantén el hallazgo en reserva hasta que lo hayamos corregido o hasta que pasen [PLAZO DE DIVULGACIÓN — p. ej. 90 días, confirmar] desde tu informe, lo que ocurra antes, y coordina la publicación con nosotros.

Si investigas y reportas de buena fe siguiendo esta política, consideraremos tu investigación autorizada, no emprenderemos acciones legales contra ti por ella y, si un tercero lo hace, dejaremos claro que actuaste con nuestro permiso. [ALCANCE DEL PUERTO SEGURO — revisar con un abogado]

Esta protección no cubre a quien incumple las reglas de arriba, por ejemplo accediendo a datos de otros clientes más allá de lo necesario para demostrar el problema.

• Acusamos recibo de tu informe en un plazo de [PLAZO DE ACUSE DE RECIBO — confirmar].
• Te damos una primera valoración en un plazo de [PLAZO DE VALORACIÓN — confirmar].
• Te mantenemos al tanto mientras lo corregimos y te avisamos cuando esté resuelto.
• Si quieres, te mencionamos como descubridor cuando lo publiquemos.

No tenemos un programa de recompensas económicas. [PROGRAMA DE RECOMPENSAS — confirmar con el propietario]