Política de divulgación de vulnerabilidades

1) Cómo reportar

Si cree que ha encontrado una vulnerabilidad de seguridad en cualquier servicio de Hellomatik, escríbanos a administracion@hellomatik.com con una descripción clara. Los detalles legibles por máquina están en nuestro security.txt (RFC 9116).

• Incluye la URL o endpoint afectado, los pasos para reproducirlo y el impacto que cree que tiene.
• Adjunta material de prueba cuando ayude (peticiones, capturas, scripts mínimos).
• Escribe en español o en inglés: llega al mismo equipo.

2) Qué puede esperar de nosotros

• Acusamos recibo en un plazo de 3 días laborables.
• Le mantenemos al tanto del progreso y le avisamos cuando el problema esté corregido.
• No emprenderemos acciones legales contra la investigación hecha de buena fe bajo esta política.
• Con su permiso, acreditamos su hallazgo una vez resuelto.

3) Reglas del juego

Investigación de buena fe significa:

• No acceda, modifique ni borre datos que no sean suyos. Si una prueba de concepto exige demostrar acceso, deténgase en la evidencia mínima necesaria.
• No degrades el servicio: nada de pruebas de denegación de servicio, spam ni ingeniería social al equipo o a los clientes de Hellomatik.
• No haga público el problema antes de que confirmemos la corrección y acordemos con usted los tiempos.
• Prueba solo contra sistemas operados por Hellomatik; las webs y sistemas propios de nuestros clientes quedan fuera del alcance.

4) Alcance

Dentro del alcance: hellomatik.com y los servicios de aplicación operados por Hellomatik. Fuera del alcance: hallazgos que requieran acceso físico, resultados de escáneres automáticos sin impacto demostrado, cabeceras de seguridad ausentes en páginas sin acciones sensibles, y vulnerabilidades de servicios de terceros que usamos — repórtalas al tercero y avísanos para hacer seguimiento.