Política de divulgación de vulnerabilidades

• Esta web, earbunny.app, y los subdominios que gestionamos.
• El panel web para padres.
• Nuestra API, tal y como la usan las apps y el panel web.
• La app para iOS, incluida la app para Apple Watch y los widgets.

• Ataques de denegación de servicio y pruebas de carga o de estrés.
• Ingeniería social o phishing dirigido a nuestro equipo, a nuestros usuarios o a nuestros proveedores.
• Ataques físicos a oficinas, centros de datos o dispositivos.
• Spam, o el envío masivo de mensajes a través del formulario de contacto o del registro.
• Servicios gestionados por terceros (por ejemplo, el App Store, Cloudflare, Vercel o Sentry). Infórmalos directamente al proveedor.
• Informes de escáneres automáticos sin un impacto demostrado y explotable.

• Usa cuentas de prueba creadas por ti. Si necesitas una segunda familia para probar las reglas de acceso, crea una segunda familia de prueba.
• No accedas a datos de otras personas, ni los modifiques ni los borres. Si llegas a datos ajenos por accidente, para, quédate solo con lo imprescindible para demostrar el problema y avísanos.
• Nada de pruebas destructivas: no degrades nuestros servicios, no borres datos ni dejes cambios permanentes.
• Mantén los detalles en secreto hasta que hayamos corregido el problema y hayamos acordado contigo cómo divulgarlo.
• Actúa de buena fe y dentro de la ley.

Escribe a security [at] earbunny.app. Incluye, por favor:

• Qué has encontrado y dónde (URL, endpoint o pantalla de la app, y versión de la app).
• Instrucciones paso a paso para reproducirlo, con capturas de pantalla o un vídeo corto si ayuda.
• El impacto que crees que tiene.
• Cómo podemos contactarte y si quieres que te demos las gracias con tu nombre.

Todavía no ofrecemos correo cifrado (PGP). No nos envíes datos personales de otras personas; si necesitas compartir algo sensible, descríbelo y acordaremos una forma segura de intercambiarlo.

• Confirmamos la recepción de tu informe en un plazo de 3 días hábiles.
• Lo analizamos y te comunicamos nuestra valoración en un plazo de 10 días hábiles.
• Te mantenemos al día hasta que el problema esté corregido, y te avisamos cuando lo esté.
• Si quieres, te reconocemos el mérito cuando la corrección esté publicada.

Todavía no tenemos un programa de recompensas económicas (bug bounty). Somos un equipo pequeño y preferimos decirlo claramente antes que prometer algo que no podamos cumplir. Con tu permiso, incluimos a quienes nos han ayudado en una lista de agradecimientos en esta página.

Nuestros datos de contacto y esta política también están publicados en formato legible por máquina en /.well-known/security.txt. Para ver de forma general cómo protegemos los datos, consulta Seguridad.