Investigación de seguridad

Política de seguridad

Nos tomamos la seguridad en serio. Si encontraste una vulnerabilidad, queremos saberlo.

Última actualización: 26 de enero de 2026

En Invoist valoramos a la comunidad de seguridad y agradecemos la divulgación responsable de vulnerabilidades. Esta política explica cómo informar de problemas de seguridad y qué puedes esperar de nosotros.

1 Divulgación responsable

Animamos a los investigadores de seguridad a informarnos de las vulnerabilidades de forma responsable antes de hacerlas públicas. Nos comprometemos a trabajar contigo para entender y resolver los problemas de seguridad legítimos con rapidez y transparencia.

2 Alcance

Quedan dentro del alcance de la investigación de seguridad:

  • La aplicación web de Invoist (invoist.app)
  • Mecanismos de autenticación y autorización
  • Tratamiento y almacenamiento de datos
  • Endpoints de la API
  • Tratamiento de pagos y datos financieros

3 Fuera del alcance

Las siguientes actividades no están permitidas y quedan fuera del alcance:

  • Ataques de denegación de servicio (DoS/DDoS)
  • Ataques de ingeniería social o phishing contra nuestros empleados o usuarios
  • Ataques físicos contra nuestra infraestructura
  • Acceder a datos de otros usuarios, modificarlos o eliminarlos
  • Escaneos automáticos de vulnerabilidades que generen tráfico excesivo
  • Spam o pruebas de límites de frecuencia (rate limit)
  • Servicios de terceros que usamos (infórmales directamente a ellos)

4 Cómo informar

Si descubriste una vulnerabilidad de seguridad, escríbenos un correo con la siguiente información:

  • Una descripción de la vulnerabilidad y su posible impacto
  • Los pasos detallados para reproducir el problema
  • Capturas de pantalla, videos o pruebas de concepto relevantes
  • Tus datos de contacto por si tenemos más preguntas
security@invoist.app

5 Qué puedes esperar

Cuando nos envías un informe de vulnerabilidad:

1
Confirmación de recepción

Confirmaremos la recepción de tu informe en un plazo de 3 días hábiles.

2
Evaluación

Investigaremos y evaluaremos la vulnerabilidad, y te mantendremos al tanto de nuestro avance.

3
Resolución

Trabajaremos para corregir las vulnerabilidades confirmadas lo antes posible.

4
Reconocimiento

Con tu permiso, reconoceremos públicamente tu contribución.

6 Puerto seguro

No emprenderemos acciones legales contra los investigadores de seguridad que:

  • Actúen de buena fe y sigan esta política
  • Eviten violar la privacidad (no accedan a datos de otros usuarios)
  • No degraden ni interrumpan nuestros servicios
  • No divulguen públicamente vulnerabilidades antes de que hayamos tenido un tiempo razonable para resolverlas

7 Programa de recompensas por errores

Por ahora no ofrecemos un programa de recompensas por errores (bug bounty) remunerado. Aun así, con gusto reconoceremos públicamente tu contribución en esta página si informas de una vulnerabilidad válida que confirmemos y corrijamos. Avísanos si quieres que te mencionemos.

Agradecimientos

Queremos agradecer a los siguientes investigadores de seguridad por informarnos de vulnerabilidades de forma responsable:

Todavía no hay informes. ¡Sé la primera persona en ayudarnos a mejorar nuestra seguridad!