Divulgación Responsable de Vulnerabilidades
1. Objetivo
Fomentamos los reportes responsables de fallos de seguridad en Latens Chat para proteger a las personas usuarias. Este documento describe cómo reportar y qué esperar del proceso.
2. Alcance
- Web-app en latenschat.com y subdominios asociados.
- Infraestructura de señalización/relay y endpoints públicos necesarios para el funcionamiento de la app.
3. Cómo reportar
- Envía un email a info@marezapp.com con el asunto [VULN].
- Incluye: descripción clara, impacto, pasos de reproducción, URLs/hosts afectados, evidencias (capturas, PoC), y, si es posible, mitigación sugerida.
- Datos personales: no compartas datos de terceros ni contenido real de usuarios; usa cuentas propias de prueba.
4. Reglas de prueba (No causar daño)
- No afectan a terceros: sin DoS, spam, ingeniería social, ni explotación de datos reales.
- Respeta límites: sin escaneo agresivo ni automatización que degrade el servicio.
- Contenido E2EE: por diseño no accedemos al texto claro; céntrate en superficie web/relay, controles de acceso, configuración, encabezados, etc.
5. Compromisos (SLA orientativo)
- Acuse de recibo: en ≤ 72 h.
- Evaluación inicial: en ≤ 7 días.
- Corrección: plazo razonable según severidad y complejidad.
- Coordinaremos la publicación responsable del hallazgo tras la corrección.
6. Reconocimiento y recompensas
- Sin programa económico por el momento.
- Reconocimiento opcional en una nota pública de agradecimientos, si el investigador lo desea.
7. Puerto seguro (“Safe Harbor”)
No emprenderemos acciones legales contra quienes, de buena fe, investiguen y reporten siguiendo estas reglas, actúen con mínima intrusión y den tiempo razonable para resolver antes de divulgar.
8. Punto de contacto alternativo
Publicamos un descriptor en /.well-known/security.txt con nuestra información de contacto y política de divulgación.
9. Contacto
Seguridad: info@marezapp.com · Tel: +34 621240056