Política de seguridad

Nos tomamos muy en serio la seguridad de YourImageShare y de las personas que lo usan. Si has encontrado una vulnerabilidad de seguridad, gracias por avisarnos. Esta página explica cómo informar de ella, qué puedes esperar de nosotros y las reglas para probar de forma segura.

1. Cómo informar de una vulnerabilidad

Escribe a [email protected] o usa el formulario de contacto y empieza el asunto con "Security". Por favor, no informes de vulnerabilidades en lugares públicos (issues de GitHub, comentarios, redes sociales) antes de que estén corregidas.

Por favor, incluye:

• una descripción del problema y de lo que un atacante podría hacer con él;
• los pasos exactos, las URL y las solicitudes necesarias para reproducirlo (una prueba de concepto es bienvenida);
• la parte afectada: página del sitio web, endpoint de la API, extensión del navegador, plugin de WordPress, SDK, bot;
• cómo quieres que te demos crédito, si es que quieres.

Nuestros datos de contacto en formato legible por máquinas están en /.well-known/security.txt.

2. Qué puedes esperar de nosotros

• Acuse de recibo en un plazo de 5 días hábiles.
• Primera evaluación (si podemos reproducirlo y qué gravedad tiene) en un plazo de 10 días hábiles.
• Una corrección o una actualización del estado en un plazo de 90 días. Los problemas graves se corrigen lo más rápido posible, normalmente mucho antes.
• Divulgación coordinada. Por favor, espera a que el problema esté corregido, o a que pasen 90 días, antes de publicar detalles. Con gusto acordaremos una fecha contigo.

Somos un equipo pequeño. Te mantendremos informado y no ignoraremos un informe válido.

3. Protección legal (safe harbour)

Si haces un esfuerzo de buena fe por seguir esta política, consideramos que tu investigación está autorizada. No emprenderemos acciones legales contra ti ni te denunciaremos a las autoridades por ello, y no suspenderemos tu cuenta por ese motivo. Si un tercero emprende acciones legales contra ti por una investigación que siguió esta política, haremos público que tu trabajo estaba autorizado.

Buena fe significa que:

• pruebas solo con tus propias cuentas y tus propios archivos subidos, o con cuentas que tengas permiso para usar;
• te detienes en cuanto llegues a datos de otras personas (archivos subidos, datos de cuenta, mensajes), no los conservas ni los compartes, y nos cuentas a qué accediste;
• no degradas el servicio para los demás (nada de denegación de servicio, escaneos automatizados de gran volumen ni spam);
• no usas ingeniería social, phishing ni ataques físicos contra nuestro personal, usuarios o proveedores;
• nos das un tiempo razonable para corregir el problema antes de divulgarlo;
• nunca subes contenido ilegal, incluido material de abuso sexual infantil, por ningún motivo.

Si tienes dudas sobre si algo está permitido, pregúntanos antes en [email protected].

4. Dentro del alcance

• yourimageshare.com y sus subdominios (por ejemplo i.yourimageshare.com y status.yourimageshare.com);
• la API pública para subir archivos, su documentación y nuestros SDK oficiales y servidor MCP;
• nuestras extensiones de navegador, el plugin de WordPress y el bot de Telegram.

Ejemplos de lo que queremos conocer: toma de control de cuentas, elusión de la autenticación o la autorización, acceso a archivos privados o protegidos con contraseña de otras personas, cross-site scripting que afecte a otros usuarios, cross-site request forgery en acciones que modifican datos, server-side request forgery, inyección, ejecución remota de código y problemas en cómo se procesan los archivos subidos.

5. Fuera del alcance

Estos casos no se tratan como vulnerabilidades, salvo que puedas demostrar un impacto real en los usuarios:

• encabezados HTTP, indicadores de cookies o ajustes de TLS ausentes o de "buenas prácticas" sin un ataque que funcione;
• informes sobre la configuración de SPF, DKIM o DMARC;
• clickjacking en páginas sin acciones sensibles;
• self-XSS o ataques que requieran acceso total al dispositivo o navegador de la víctima;
• límites de solicitudes en páginas públicas y enumeración de nombres de usuario o correos electrónicos a través de perfiles públicos;
• informes de escáneres automáticos sin un problema confirmado y reproducible;
• ataques de denegación de servicio.

6. El contenido ilegal o abusivo no es un informe de seguridad

Para denunciar un archivo subido que sea ilegal, abusivo o que incumpla nuestros Términos y condiciones, usa el botón Denunciar del elemento o nuestro formulario de denuncia. Estas denuncias las gestiona nuestro equipo de moderación, no la dirección de seguridad.

7. Recompensas y reconocimiento

No tenemos un programa de recompensas por errores (bug bounty). Con tu permiso, te agradeceremos con tu nombre (o alias) en los agradecimientos de más abajo y en las notas de la versión que incluya la corrección.

8. Agradecimientos

Agradecemos a las siguientes personas por informar de forma responsable de problemas de seguridad:

• Todavía no hay informes con reconocimiento.