Política de divulgación de vulnerabilidades

Última actualización: 24 de septiembre de 2026 · Versión 1.0.0

Esta política explica cómo informar de una vulnerabilidad en los servicios de SwiftQuantum, qué le pedimos mientras investiga y qué puede esperar de nosotros. SwiftQuantum es operado por SwiftQuantum Technologies, LLC, sociedad de responsabilidad limitada de Delaware (EE. UU.). El fundador lee y gestiona personalmente cada informe; los plazos que siguen lo tienen en cuenta.

La versión legible por máquina de nuestros datos de contacto está publicada en /.well-known/security.txt (RFC 9116).

1. Cómo informar

Escriba a security@swiftquantum.tech e incluya, si es posible:

• el producto, la URL, el endpoint de la API o la aplicación afectados, y la versión de la aplicación;
• una descripción del problema y su impacto probable;
• los pasos para reproducirlo y, si la tiene, una prueba de concepto (capturas de pantalla, peticiones HTTP, un script breve);
• si accedió a datos, los modificó o los conservó, y cuáles;
• si desea recibir un reconocimiento público y con qué nombre.

Los informes pueden redactarse en inglés o en coreano. Si necesita enviar material sensible, indíquelo primero y acordaremos un medio de intercambio. Por ahora no publicamos una clave PGP.

No informe de vulnerabilidades mediante reseñas de la App Store, redes sociales, issues públicas de GitHub ni el soporte general.

2. Alcance

Dentro del alcance

• aplicaciones web y sitios en swiftquantum.tech y sus subdominios (*.swiftquantum.tech), incluido este sitio;
• las API servidas desde *.swiftquantum.tech, incluido el servicio de autenticación y la SwiftQuantum Legal API;
• las aplicaciones para iOS, iPadOS, macOS y visionOS publicadas por SwiftQuantum en la App Store de Apple: SwiftQuantum, QuantumNative, Q-Bridge, QuantumCareer, Q-Alpha, Q-Shield, Q-Logos y Q-Bio Genesis;
• los paquetes de código abierto publicados bajo la organización SwiftQuantum, cuando el problema afecte a sus usuarios.

Fuera del alcance

• los servicios de terceros que utilizamos, como Amazon Web Services, Stripe, Apple, OpenAI, Anthropic, IBM Quantum o nuestro proveedor de correo; infórmelos directamente al proveedor. Un fallo en nuestra configuración o integración de esos servicios sí está dentro del alcance;
• hallazgos que requieran un dispositivo con root o jailbreak, acceso físico al dispositivo desbloqueado de la víctima o un navegador ya comprometido;
• ausencia de cabeceras de seguridad, atributos de cookies o ajustes de TLS sin una forma demostrada de explotarla;
• clickjacking en páginas sin acciones que cambien el estado, CSRF de cierre de sesión y self-XSS;
• resultados de escáneres automáticos sin impacto verificado;
• hallazgos de limitación de velocidad o fuerza bruta sin una vía realista hacia el secuestro de cuentas o la exposición de datos;
• hallazgos de configuración de correo (SPF, DKIM, política DMARC) sin suplantación demostrada;
• vulnerabilidades que solo afectan a navegadores o sistemas operativos sin soporte de su fabricante.

Si no está seguro de si algo está dentro del alcance, infórmelo igualmente e indíquelo.

3. Qué le pedimos que no haga

• Nada de denegación de servicio. No realice pruebas de carga, inundaciones ni nada que degrade el servicio para otros usuarios, y no llene almacenamiento ni colas.
• Ningún acceso a datos más allá de lo necesario para la prueba. Si llega a datos personales, deténgase, no los copie ni los conserve e indique en su informe lo que vio. Use solo cuentas creadas por usted o cuyos titulares hayan aceptado participar.
• Nada de ingeniería social contra nuestros usuarios, el fundador o nuestros proveedores, ni phishing.
• Nada de ataques físicos contra oficinas, domicilios o equipos.
• No modifique ni elimine datos ajenos y no mantenga acceso (puertas traseras, sesiones persistentes, web shells) después de confirmar un problema.
• No use recursos de pago de otras personas, por ejemplo enviando trabajos a hardware cuántico o peticiones de IA con credenciales que no sean suyas.
• No divulgue el problema públicamente ni a terceros hasta que lo hayamos corregido o hasta la fecha acordada según la sección 5.

4. Puerto seguro (safe harbor)

Consideramos autorizada la investigación realizada de buena fe conforme a esta política. En concreto:

• no emprenderemos acciones legales contra usted ni pediremos a las autoridades que lo hagan por una investigación que cumpla esta política, incluidas las basadas en leyes sobre acceso no autorizado a sistemas informáticos (como la ley coreana de redes de información y comunicación o la Computer Fraud and Abuse Act de EE. UU.) o sobre elusión de medidas técnicas de protección;
• no trataremos esa investigación como un incumplimiento de nuestros Términos del servicio en la medida en que entre en conflicto con ellos;
• si un tercero presenta una reclamación contra usted por una investigación conforme a esta política, haremos saber que su actividad estaba autorizada por nosotros.

Este puerto seguro solo se aplica a los sistemas y actividades incluidos en esta política. No vincula a terceros y no podemos autorizar pruebas en sistemas que no nos pertenecen. Si duda de si una acción prevista cumple esta política, consúltenos antes en security@swiftquantum.tech.

5. Qué puede esperar de nosotros

SwiftQuantum lo gestiona una sola persona. Los objetivos siguientes son compromisos de esfuerzo, no garantías:

Le mantendremos informado, le avisaremos cuando esté corregido y le pediremos permiso antes de mencionarle. Le pedimos que nos conceda hasta 90 días desde su informe para corregirlo antes de cualquier divulgación pública. Si necesitamos más tiempo, le explicaremos el motivo y acordaremos una fecha con usted.

Si un informe indica que pueden haberse expuesto datos personales, lo gestionaremos conforme a nuestra Política de privacidad y a las obligaciones legales de notificación, con independencia del calendario anterior.

6. Sin programa de recompensas

No tenemos un programa de bug bounty y no pagamos por los informes. Con su permiso, le daremos reconocimiento público una vez corregido el problema. Exigir un pago como condición para revelar los detalles no es un informe de buena fe según esta política.

7. Documentos relacionados

• Política de privacidad
• Subencargados
• Acuerdo de tratamiento de datos
• Términos del servicio

8. Cambios

Podemos modificar esta política. El número de versión y la fecha de arriba cambian con cada actualización; a cada informe se le sigue aplicando la versión vigente el día en que se presentó.

Esta política se publica en varios idiomas. En caso de discrepancia, prevalece la versión en inglés.