Seguridad en Shipcue
Cómo informar de una vulnerabilidad y qué puedes esperar de nosotros.
Borrador. Esta política puede cambiar antes del lanzamiento de Shipcue. Última actualización: .
Cómo informar de una vulnerabilidad
Escribe a security@shipcue.app e incluye:
- qué has encontrado y dónde (versión de la app, endpoint o pantalla),
- los pasos para reproducirlo,
- el impacto que esperas.
No envíes nunca claves de API (archivos .p8), tokens ni otros secretos, ni siquiera los tuyos. Bórralos de las capturas y de los registros.
Lo que prometemos
- Respondemos en un máximo de 5 días laborables.
- Te mantenemos al tanto mientras lo corregimos y te avisamos cuando esté resuelto.
- Si quieres, te mencionamos al anunciar la corrección.
- No emprenderemos acciones legales contra investigaciones de buena fe que sigan esta política.
Te pedimos
- Prueba solo con tus propias cuentas, claves y apps.
- No accedas a datos de otras personas, ni los cambies ni los borres. Si llegas a ellos por accidente, detente y avísanos.
- No hagas pruebas de denegación de servicio, spam ni ingeniería social contra nosotros o nuestros usuarios.
- Danos un plazo razonable para corregir el problema antes de publicarlo (sugerimos 90 días).
Qué está incluido
- La app Shipcue para iPhone y iPad
- Nuestros endpoints de servidor bajo shipcue.app
Los servicios de Apple (App Store Connect, APNs) y RevenueCat quedan fuera del alcance; informa de los problemas de esos servicios a las empresas correspondientes.
Phishing
Shipcue nunca pide una clave de API, una contraseña ni un inicio de sesión en una notificación, y nuestras notificaciones nunca contienen enlaces externos. Si recibes una que sí lo haga, reenvíanosla a security@shipcue.app.