Divulgación responsable

Qué está dentro del alcance

Están dentro del alcance el sitio web de Sapita en sapita.app, el panel de control en sapita.app/dashboard, la API pública en api.sapita.app y la aplicación móvil de Sapita.

Quedan fuera los sistemas de terceros de los que depende Sapita, las pruebas de denegación de servicio, la ingeniería social o el phishing de nuestro personal o de nuestros clientes, los ataques físicos y los escaneos automáticos que generan mucho tráfico.

Cómo informar

Envía tu informe a través del formulario de contacto y elige el tema Seguridad. Describe el problema, la dirección o la pantalla que afecta, los pasos para reproducirlo y el impacto que observas. No envíes datos personales. Si necesitas mostrar datos, usa una empresa de prueba que hayas creado en tu propia prueba.

Ir al formulario de contacto

Normas para investigadores

• Prueba solo con tus propias cuentas y tus propias empresas de prueba, y nunca con datos de otro cliente.
• Detente cuando llegues a datos personales o a datos que no son tuyos, e informa de lo que encontraste sin copiarlo.
• No cambies, borres ni alteres datos o servicios, y no ejecutes pruebas que ralenticen el servicio para otros.
• Danos un plazo razonable para corregir el problema y no publiques detalles hasta que acordemos la fecha contigo.
• No pidas un pago y no uses un hallazgo para presionarnos.

Qué puedes esperar

Nuestro objetivo es confirmar la recepción de tu informe en un plazo de tres días laborables. Te mantenemos informado de nuestro progreso, te avisamos cuando el problema esté corregido y acordamos contigo cuándo puedes publicarlo. Agradecemos a los investigadores que informan de forma responsable y, con tu permiso, te mencionamos después de la corrección.

Protección para investigadores de buena fe

Si investigas de buena fe y sigues esta política, no emprenderemos acciones legales contra ti por esa investigación. La protección no cubre las actividades que incumplan las normas anteriores.