Reportar una vulnerabilidad

Qué esperamos de vos

• Danos un tiempo razonable para corregirlo antes de hacerlo público.
• No accedas, modifiques ni elimines datos de otras personas: si necesitás demostrar el problema, alcanza con una cuenta propia.
• No hagas pruebas de denegación de servicio, spam ni ingeniería social contra usuarios o comercios.
• Incluí los pasos para reproducirlo. Un reporte que no podemos reproducir no lo podemos arreglar.

Qué podés esperar de nosotros

• Acusamos recibo del reporte y te contamos si lo pudimos reproducir.
• Te avisamos cuando esté corregido.
• No iniciamos acciones legales contra quien reporte de buena fe siguiendo estas pautas.

Fuera de alcance

Reportes generados sólo por un escáner automático sin impacto demostrado, ausencia de headers que no derivan en una vulnerabilidad concreta, y problemas en servicios de terceros (MercadoPago, el proveedor de hosting) que hay que reportar directamente a ellos.