Seguridad y divulgación responsable

1. Reportar una vulnerabilidad

Correo electrónico [email protected] con una descripción concisa, URL afectada, pasos para reproducir y el impacto que observó. Incluye capturas de pantalla o registros sólo después de eliminar fichas, contraseñas, datos personales e información de clientes no relacionada. No publique un contenido de informes activo o confidencial antes de una revisión coordinada.

2. Manténgase dentro de límites de pruebas seguras

Utilice cuentas y datos que posee o tenga permiso explícito para probar. Pare si encuentra la información privada de alguien más. No realice ataques de denegación de servicio, ingeniería social, pruebas destructivas o intentos de obtener secretos de pago o autenticación. Esta página no otorga permiso para probar infraestructura de terceros.

3. Controles de acceso

La generación requiere una sesión de clientes verificada. Los datos de usuario se filtran por la identidad de cuenta autenticada. Los endpoints administrativos requieren un rol de administración configurado por separado o una lista de permisos verificada; un correo electrónico escrito en un formulario o una bandera del lado del cliente no otorga acceso.

La vista previa del dashboard no contiene registros de clientes y no autoriza acciones administrativas. Secretos del proveedor de autenticación, credenciales fal.ai y Tripo y las teclas Stripe pertenecen a la configuración del lado del servidor y nunca están destinadas a aparecer en páginas públicas.

4. Presentación de informes

Los informes se examinan para la reproducibilidad, la gravedad y los sistemas afectados. Los plazos de reconocimiento y remediación dependen de la cuestión y la capacidad operacional; no se promete ninguna garantía o recompensa inconfigurada a nivel de servicio. Podemos pedir detalles aclaratorios o coordinar con un proveedor.

Si sospecha que su propia cuenta estaba comprometida, póngase en contacto con [email protected] y utilice las opciones de recuperación de contraseñas o proveedores cuando esté disponible. Nunca envíe su contraseña por correo electrónico.