Política de Divulgación Responsable de Seguridad

1. Alcance (In-Scope)

Los siguientes dominios y servicios están comprendidos dentro del alcance de esta política:

• https://www.codeja.dev
• https://codeja.dev
• Subdominios directos de *.codeja.dev gestionados directamente por CodeJa.

Cualquier servicio de terceros o proveedor externo (por ejemplo, pasarelas de pago externas o dominios de CDN externos) queda fuera del alcance salvo en lo respectivo a la integración directa con nuestros sistemas.

2. Cómo reportar una vulnerabilidad

Si has descubierto un fallo de seguridad o una vulnerabilidad en los sistemas de CodeJa, por favor envíanos un informe detallado por correo electrónico a:

3. Información que debe incluir el reporte

Para evaluar y resolver el problema con la mayor rapidez posible, solicitamos que el informe incluya:

• Descripción detallada: Tipo de vulnerabilidad y su impacto potencial.
• Pasos para reproducir: Instrucciones claras y secuenciales para replicar el hallazgo.
• Prueba de concepto (PoC): Capturas de pantalla, peticiones HTTP de ejemplo o scripts inocuos que demuestren el fallo.
• Entorno: Navegador, sistema operativo o versión de API utilizada.

4. Plazos orientativos de respuesta

Nos comprometemos a gestionar los reportes de manera ágil:

• Acuse de recibo inicial: Entre 48 y 72 horas hábiles tras la recepción del mensaje.
• Evaluación y confirmación: Entre 5 y 10 días hábiles para analizar la validez y el nivel de riesgo.
• Corrección: El plazo de solución variará según la severidad del hallazgo, manteniéndote informado de los progresos.

5. Actividades estrictamente prohibidas

Para garantizar la seguridad, integridad y continuidad del servicio, quedan totalmente prohibidas las siguientes acciones:

• Pruebas destructivas o alteración/eliminación de datos.
• Ingeniería social, phishing o ataques dirigidos a empleados o usuarios.
• Envío de spam o intentos de denegación de servicio (DoS / DDoS).
• Acceso, descarga, modificación o filtración de datos pertenecientes a terceros.
• Uso de herramientas de escaneo masivo automatizado sin un ritmo controlado que pueda degradar el servicio.

6. Marco de protección legal (Safe Harbor)

Si realizas tus investigaciones y pruebas de seguridad en estricta conformidad con esta política, de buena fe y respetando los límites establecidos, consideramos que tu actividad es autorizada. CodeJa no emprenderá acciones legales ni notificará a las autoridades policiales sobre pruebas de seguridad realizadas bajo estos términos.