Política de divulgación de vulnerabilidades

Los comerciantes confían en PapelShip para cobrar sus pagos y en qPapel para proteger su software. Acogemos con agrado los informes de los investigadores que detectan problemas de seguridad y desean ayudarnos a corregirlos.

Dentro del alcance

• papelship.com y el panel de PapelShip.
• El checkout alojado y las tiendas en mypapel.com.
• La API de PapelShip, los webhooks y los servidores de autenticación de qPapel.
• Los SDK de qPapel para C++ y C#.

Fuera del alcance

• La denegación de servicio, las pruebas de carga o los intentos de degradar la disponibilidad.
• La ingeniería social, el phishing o los ataques físicos contra el personal o las oficinas.
• El contenido, el código o la configuración controlados por cada comerciante.
• Los servicios de terceros que utilizamos, cuyos problemas deben notificarse a sus respectivos titulares.
• Los hallazgos sin un impacto demostrado en la seguridad, como la ausencia de cabeceras en páginas estáticas.

Envíe un correo electrónico a [email protected] con el asunto «Security report». Incluya:

• Una descripción del problema y de su posible impacto.
• La URL, el endpoint, la versión del SDK o el componente afectados.
• Los pasos para reproducirlo y, cuando sea posible, una prueba de concepto.
• Si desea que mencionemos su nombre y, en tal caso, de qué forma.

• Realice pruebas únicamente con cuentas y tiendas de su propiedad o con autorización expresa.
• No acceda a datos de otros usuarios ni los modifique o elimine; si llega a ellos, deténgase y notifíquelo de inmediato.
• No utilice un hallazgo para eludir la protección de qPapel de otro comerciante ni para obtener licencias.
• No ejecute análisis automatizados que generen un tráfico elevado.
• Mantenga la confidencialidad de los detalles hasta que hayamos confirmado una corrección.

Si usted cumple esta política, actúa de buena fe y nos concede un plazo razonable para responder, no emprenderemos acciones legales contra usted por su investigación y colaboraremos con usted para comprender y resolver el problema.

Acusaremos recibo de su informe, le comunicaremos los avances mientras lo investigamos y le haremos saber cuándo se haya resuelto el problema. Actualmente no disponemos de un programa de recompensas remuneradas por vulnerabilidades (bug bounty).