Divulgación responsable de vulnerabilidades

Si investigas de buena fe siguiendo esta política, consideramos tu actividad autorizada, no emprenderemos ni apoyaremos acciones legales en tu contra, y trabajaremos contigo para entender y resolver el problema con rapidez.

• Prueba solo contra cuentas propias o de prueba. Nunca contra datos de un cliente real.
• Detente en cuanto confirmes la vulnerabilidad. No hace falta extraer datos para demostrar que se puede.
• Si accedes accidentalmente a datos de terceros, detén la prueba, no los conserves y avísanos de inmediato.
• No degrades el servicio: nada de denegación de servicio, fuerza bruta masiva ni saturación deliberada.
• No uses ingeniería social contra nuestro personal, nuestros clientes ni sus conductores.
• No accedas físicamente a dispositivos instalados en vehículos de terceros.
• No publiques los detalles antes de la fecha que acordemos.

Escribe a [email protected]. Si prefieres cifrar, publicamos nuestra clave pública en /.well-known/security.txt. Incluye descripción, pasos reproducibles, impacto estimado y —si lo tienes— una prueba de concepto mínima.

Hoy no tenemos un programa de recompensas económicas. Sí publicamos un agradecimiento con tu nombre o seudónimo, si lo autorizas, y te acompañamos en la publicación coordinada. Preferimos decirlo con claridad antes que dejar la expectativa abierta.