Política de seguridad y divulgación de vulnerabilidades

Envía tu informe por correo electrónico. Cífralo con nuestra clave PGP pública siempre que contenga detalles técnicos o una prueba de concepto.

Contacto

[email protected]

Clave PGP pública

/.well-known/pgp-key.txt

Huella

3C11 0D26 D95B A699 3DA0 FEF4 E8C7 6A2C 9D88 DB15

ID de clave

E8C76A2C9D88DB15

Algoritmo

RSA 4096

Validez

2026-10-07 → 2028-10-06

security.txt

/.well-known/security.txt (RFC 9116, firmado)

Importa la clave, comprueba que la huella que muestra tu herramienta coincide con la de esta página y cifra después tu informe para el destinatario indicado abajo. No confíes en una clave cuya huella sea distinta.

curl -O https://dqmj1.wiki/.well-known/pgp-key.txt
gpg --import pgp-key.txt
gpg --fingerprint [email protected]
gpg --armor --encrypt --recipient [email protected] report.txt

Adjunta o pega en tu mensaje el archivo report.txt.asc obtenido e incluye tu propia clave pública para que podamos responder cifrado. Respondemos desde la misma dirección.

• La URL, el endpoint o el componente afectado.
• Una descripción de la vulnerabilidad y de su impacto potencial.
• Pasos claros para reproducirla, con una prueba de concepto mínima.
• Tu nombre o alias si deseas figurar en los créditos (opcional).

Dentro del alcance

• El sitio dqmj1.wiki y los subdominios que operamos.
• La API REST pública bajo /api/v1 y los widgets incrustables bajo /embed.
• El código abierto que este proyecto publica en GitHub.

Fuera del alcance

• Denegación de servicio, pruebas de carga o de estrés y escaneos automáticos de gran volumen.
• Ingeniería social, phishing y ataques físicos.
• Vulnerabilidades en servicios de terceros que utilizamos (Cloudflare, Resend, Google, GitHub): comunícalas al proveedor.
• Cabeceras o ajustes de buenas prácticas ausentes sin un impacto de seguridad demostrado.
• Resultados sin validar de escáneres automáticos.

Las cuestiones de derechos de autor o de marca no son asuntos de seguridad: escribe en su lugar a [email protected].

• Acusamos recibo de tu informe en un plazo de 5 días laborables.
• Te damos una primera evaluación en un plazo de 10 días laborables y te mantenemos informado del avance.
• Corregimos las vulnerabilidades confirmadas con la rapidez que exija su gravedad.
• Pedimos una divulgación coordinada: espera hasta 90 días desde tu informe, o hasta que se publique una corrección, antes de cualquier divulgación pública.
• Te mencionamos en los agradecimientos de abajo, salvo que prefieras permanecer en el anonimato.

Consideramos autorizada la investigación de seguridad realizada de buena fe y conforme a esta política, y no emprenderemos acciones legales contra los investigadores que:

• hacen un esfuerzo de buena fe para evitar violaciones de la privacidad, destrucción de datos e interrupciones del servicio;
• detienen las pruebas y avisan de inmediato si llegan a datos no públicos;
• no explotan una vulnerabilidad más allá de lo necesario para demostrarla;
• mantienen los detalles confidenciales hasta que se publique una corrección o termine el plazo de divulgación.

Esta política no autoriza pruebas sobre servicios de terceros ni supone una renuncia a los derechos de esos terceros.

Este es un proyecto gratuito y sin ánimo de lucro: no ofrecemos recompensas económicas. Los informes válidos se reconocen públicamente, con tu consentimiento.

El sitio no tiene cuentas de usuario, inicio de sesión ni formularios que almacenen datos personales. La API REST es pública y de solo lectura. El sitio se sirve por HTTPS a través de Cloudflare y rechaza ser incrustado en marcos fuera de los widgets /embed.

Todavía no se ha recibido ningún informe de vulnerabilidad. Gracias a todas las personas que ayudan a mantener seguro este proyecto.