Divulgación de vulnerabilidades
¿Encontró una falla? Queremos saberlo primero.
La investigación de seguridad hecha de buena fe protege a nuestros clientes. Esta política dice qué puede probar, cómo reportar y a qué se compromete cada lado.
Vigente desde 09/2026
01Alcance
Qué puede probar.
Vale para lo que opera la propia Indene: el sitio indene.io, sus subdominios y la plataforma Indene. Los servicios de terceros que usamos, como el borde de Cloudflare, siguen la política del propio proveedor.
- Dentro del alcance: fallas que expongan datos, rompan el aislamiento entre organizaciones, ejecuten código o eludan la autenticación y la autorización.
- Fuera del alcance: denegación de servicio, ingeniería social, phishing contra el equipo y acceso físico.
- También fuera: reportes automáticos de escáner sin impacto demostrado, cabeceras o registros de correo ausentes sin escenario explotable y clickjacking en páginas sin acciones sensibles.
02Cómo reportar
Un reporte que se pueda reproducir.
Escriba a security@indene.io, en español, portugués o inglés. Cuanto más fácil sea reproducirlo, más rápido sale la corrección.
- Describa la falla, el activo afectado y el impacto que logró demostrar.
- Incluya los pasos para reproducirla, con solicitudes, capturas de pantalla o prueba de concepto.
- No adjunte datos personales o de clientes que haya visto: describa a qué accedió y borre la copia.
03Reglas de buena fe
Pruebe el problema y deténgase.
Pedimos que la investigación cause el menor efecto posible. Confirmada la falla, deténgase ahí y avísenos.
- Use solo cuentas suyas o creadas para la prueba. No acceda, altere ni borre datos de otra persona u organización.
- No degrade el servicio: sin pruebas de carga, sin spam y sin automatización agresiva.
- No divulgue la falla antes de la corrección o del fin del plazo acordado con nosotros.
04Nuestros compromisos
Plazos que puede exigirnos.
Todo reporte recibe respuesta de una persona. Usted sabrá qué decidimos, cuándo corregimos y cuándo puede publicar.
- Confirmación de recepción en hasta 3 días hábiles.
- Evaluación inicial, con la gravedad que asignamos y el porqué, en hasta 10 días hábiles.
- Divulgación coordinada: la fecha se acuerda con usted, con 90 días desde el reporte como referencia.
05Puerto seguro
La investigación de buena fe no se vuelve un juicio.
Si sigue esta política, consideramos su investigación autorizada. No emprendemos acciones judiciales contra usted ni apoyamos a quien quiera hacerlo; si alguien lo hace, confirmamos por escrito que su actividad siguió esta política.
- Hoy no hay recompensa en dinero. Cuando exista un programa, aparecerá en esta página.
- Con su permiso, agradecemos en público con el nombre o apodo que elija.
- Si tiene dudas sobre el alcance, pregunte antes de probar.
¿Listo para reportar?
Basta un correo. Si el reporte tiene información sensible, dígalo en el primer mensaje y acordamos un canal cifrado antes de los detalles.