--- title: "Política de divulgación de vulnerabilidades | Chargezen" description: "Aprende a reportar una vulnerabilidad de seguridad a Chargezen y consulta el proceso de divulgación responsable." url: "https://chargezen.com/es/vulnerability-disclosure" lang: "es" --- Canonical URL: https://chargezen.com/es/vulnerability-disclosure Seguridad # Política de divulgación de vulnerabilidades ## Chargezen invita a los investigadores de seguridad a divulgar vulnerabilidades de manera responsable. Nos comprometemos a trabajar con la comunidad de seguridad para proteger a nuestros clientes. Vigente desde el 4 de enero de 2026 Programa de recompensas activo ### Reportar una vulnerabilidad ¿Encontraste un problema de seguridad? Repórtalo de manera responsable. Agradecemos tu ayuda para mantener seguro a Chargezen. Correo electrónico (preferido) [security@chargezen.com](mailto:security@chargezen.com) Clave PGP disponible a solicitud Tiempo de respuesta previsto 24 horas Problemas críticos: el mismo día hábil ### Dentro del alcance * chargezen.com y todos sus subdominios * admin.chargezen.com (panel de comerciantes) * api.chargezen.com (API REST y GraphQL) * Aplicaciones móviles de Chargezen (iOS, Android) * Extensiones de navegador de Chargezen * Proyectos de código abierto en github.com/chargezen ### Fuera del alcance * Servicios e integraciones de terceros * Cuentas o dispositivos personales de empleados de Chargezen * Ataques de seguridad física o ingeniería social * Ataques de denegación de servicio (DoS/DDoS) * Spam o ingeniería social * Vulnerabilidades reportadas previamente * Problemas que requieren acceso físico a los dispositivos ## Recompensas por vulnerabilidades Las recompensas se determinan según la gravedad, el impacto y la calidad del reporte. ### Crítica Ejecución remota de código, inyección SQL, evasión de autenticación, violación de datos US$5000 - US$15 000 Ejemplos: RCE en servidores de producción SQLi que expone datos de clientes Evasión de autenticación para acceder a administración ### Alta Exposición significativa de datos, escalada de privilegios, XSS almacenado con impacto US$1000 - US$5000 Ejemplos: XSS almacenado que afecta a otros usuarios IDOR que expone datos sensibles Escalada de privilegios ### Media Exposición limitada de datos, CSRF, XSS reflejado, divulgación de información US$250 - US$1000 Ejemplos: XSS reflejado CSRF en acciones que cambian el estado Información sensible en las respuestas ### Baja Problemas menores, incumplimiento de buenas prácticas, divulgación de información de bajo impacto US$50 - US$250 Ejemplos: Encabezados de seguridad ausentes Mensajes de error demasiado detallados Divulgación menor de información ### Pautas de divulgación responsable #### Lo que te pedimos * Proporciona reportes detallados con pasos para reproducir el problema * Danos un plazo razonable para corregir los problemas antes de divulgarlos (90 días) * No accedas, modifiques ni elimines datos de otras personas * No realices ataques que degraden el servicio (DoS) * No uses herramientas de análisis automático sin coordinación * Actúa de buena fe para evitar violaciones de privacidad #### Lo que prometemos * Responder a los reportes dentro de 24 horas * Trabajar contigo para entender y validar los problemas * Mantenerte informado del avance de la corrección * No emprender acciones legales por investigaciones de buena fe * Reconocer públicamente a los investigadores (con su permiso) * Pagar las recompensas sin demora después de la validación ### Qué incluir en tu reporte Los reportes de alta calidad nos ayudan a corregir problemas más rápido y pueden dar lugar a recompensas mayores. 1 Tipo de vulnerabilidad Clasificación (XSS, SQLi, IDOR, etc.) 2 URL o endpoint afectado Ubicación específica de la vulnerabilidad 3 Pasos para reproducir Pasos claros y numerados que cualquiera pueda seguir 4 Prueba de concepto Capturas de pantalla, videos o código que demuestren el problema 5 Evaluación del impacto Impacto potencial si un atacante lo explota 6 Solución sugerida Recomendaciones opcionales, pero bienvenidas ### Protección jurídica Cuando se realiza una investigación de seguridad conforme a esta política, la consideramos: * **Autorizada:** no emprenderemos acciones civiles ni penales contra investigadores que actúen de buena fe. * **Lícita:** trabajaremos contigo para entender y resolver los problemas rápidamente y no presentaremos denuncias contra investigadores que cumplan esta política. * **Útil:** coordinaremos la divulgación contigo y te daremos reconocimiento (si lo deseas) al publicar las correcciones. ## ¿Listo para reportar? Ayúdanos a mantener seguro a Chargezen. Envía tu reporte de vulnerabilidad y únete a nuestro salón de la fama de seguridad. [Reportar vulnerabilidad](mailto:security@chargezen.com) [Resumen de seguridad](https://chargezen.com/es/security)