1. Alcance
eymialabs.comy sus subdominios.- La configuración de correo del dominio (SPF, DKIM, DMARC).
Fuera de alcance: los servicios de terceros que usamos (Cloudflare, Web3Forms, Buttondown, Cal.com), que tienen sus propios programas; y cualquier sistema de terceros, que nunca se prueba sin la autorización de su titular.
2. Cómo reportar
Escriba a contacto@eymialabs.com. Si necesita cifrar el reporte, escríbanos primero sin detalles y acordamos un canal cifrado.
Incluya, en lo posible:
- la URL o el componente afectado;
- una descripción de la vulnerabilidad y su impacto;
- los pasos para reproducirla;
- su nombre o alias, si quiere reconocimiento.
3. Lo que le pedimos
- Pruebe solo lo necesario para demostrar el problema.
- No acceda, modifique ni elimine datos de terceros. Si los ve por accidente, deténgase y repórtelo.
- No haga pruebas de denegación de servicio, ingeniería social, phishing ni envío masivo de formularios.
- Denos un plazo razonable para corregir antes de publicar, por defecto 90 días.
4. Lo que nos comprometemos a hacer
- Acusar recibo en un plazo de 3 días hábiles.
- Mantenerle informado del análisis y de la corrección.
- Reconocerle públicamente, si lo desea, cuando el problema esté corregido.
- Considerar autorizada la investigación de buena fe que respete esta política, no presentar denuncias ni acciones civiles contra quien la haga y, si un tercero lo hace, aclarar que la actividad estaba autorizada.
5. Recompensas
Eymia Labs no tiene un programa de recompensas monetarias. Sí ofrecemos reconocimiento público y nuestro agradecimiento sincero: sabemos lo que cuesta encontrar una falla.
6. security.txt
Publicamos los datos de contacto en /.well-known/security.txt, según el RFC 9116.