[-]Divulgación responsable

Si encuentras un fallo, cuéntanoslo.

Cuidamos los datos de los alumnos y el acceso a los cursos. Si descubres una vulnerabilidad, escríbenos: la revisamos contigo, la arreglamos y, si quieres, te damos las gracias aquí.

Reportar un fallo

[01]Cómo reportarlo

Cuanto más concreto, antes lo arreglamos.

Escribe a hola@techmind.es con «Seguridad» en el asunto e incluye:

Qué has encontrado y dónde: la URL, la petición o la pantalla.
Los pasos para reproducirlo, con capturas o una prueba de concepto.
Qué podría hacer un atacante con ello.
Cómo quieres aparecer en los reconocimientos, si quieres aparecer.

No incluyas datos personales de otras personas en el informe.

[02]Qué puedes probar

Dentro

La web, el panel del alumno, el campus y el foro.
Las peticiones de la web: /api/ y /_actions/.
El servicio de vídeo, subtítulos y descargas.
Que un pago, un reembolso o un token dé acceso a lo que no corresponde.

Fuera

Denegación de servicio y pruebas de carga.
Ingeniería social, phishing o acceso físico, contra el equipo o contra los alumnos.
Paddle, Supabase, Cloudflare o Brevo, salvo que el fallo esté en cómo los usamos. Lo demás, repórtaselo a ellos.
Resultados de escáneres automáticos sin una prueba de que se puede explotar.
Cabeceras, SPF o DMARC y versiones de software, si no hay un impacto demostrado.

Reglas

Usa solo tus propias cuentas. Si necesitas dos, crea dos.
No mires, cambies ni borres datos de otros alumnos. Si te encuentras alguno, para y cuéntanoslo.
No descargues ni compartas el contenido de los cursos.
No publiques el fallo hasta que esté arreglado o hayan pasado 90 días desde tu informe.

[03]Nuestro compromiso

Acuse de recibo3 díaslaborables, como mucho

Valoración10 díaslaborables para decirte la gravedad y el plan

Publicación90 díasdesde tu informe, aunque no esté arreglado

Te mantenemos al tanto hasta que esté arreglado. Si actúas de buena fe y sigues estas reglas, no emprenderemos acciones legales contra ti por tu investigación.

Por ahora no pagamos recompensas económicas. Te damos las gracias aquí, con tu nombre y un enlace si quieres.

[04]Reconocimientos

Gracias a quienes nos lo contaron.

Todavía no hay nadie en esta lista. Puedes ser la primera persona.