Seguridad y divulgación responsable

Si encontraste una vulnerabilidad en Alimmi, queremos saberlo. Esta página describe qué cubrimos, cómo reportar y a qué nos comprometemos. Los mismos datos de contacto están publicados en formato legible por máquina en /.well-known/security.txt conforme al RFC 9116.

1. Alcance

Esta política cubre los servicios que Alimmi opera directamente:

• alimmi.com — sitio público y aplicación web.
• api.alimmi.com — API del producto.
• Los subdominios de alimmi.com que Alimmi opere.

2. Fuera de alcance

Los proveedores sobre los que Alimmi se apoya tienen sus propios programas de divulgación. Una vulnerabilidad en su plataforma se reporta con ellos, no con nosotros:

• Cloudflare — infraestructura, CDN y entrega del Servicio.
• Neon — base de datos.
• Firebase (Google) — autenticación.
• Stripe — procesamiento de pagos.
• Resend — correo transaccional.
• send.alimmi.com — subdominio delegado a nuestro proveedor de correo (Resend / Amazon SES). Apunta a infraestructura que Alimmi no opera y por eso no podemos autorizar pruebas contra él.

Tampoco entran en alcance los reportes producidos únicamente por un escáner automático sin impacto demostrado, ni los hallazgos que dependan de acceso físico a un equipo o de ingeniería social.

3. Qué reportar

Nos interesa cualquier hallazgo con impacto real sobre la seguridad de los datos de nuestros clientes. En particular:

• Fallas de autenticación o de manejo de sesión.
• Fallas de autorización y escalada de privilegios, incluida la escalada entre roles del workspace.
• Cualquier fuga del aislamiento entre clientes (multi-tenant): leer o escribir datos de un negocio desde otro.
• Exposición de datos personales, fiscales o de operación.
• Exposición de configuración, credenciales, llaves o secretos.

4. Cómo reportar

Escríbenos por cualquiera de estos canales — son los mismos que publica el archivo security.txt:

El contacto es directo con el responsable del producto mientras el dominio no reciba correo; cuando exista un buzón en alimmi.com lo publicaremos aquí y en el archivo security.txt.

Incluye los pasos exactos para reproducir el hallazgo, el impacto que le atribuyes y, si aplica, una prueba de concepto mínima. Puedes escribir en español o en inglés.

5. Reglas de la investigación

Alimmi es un sistema en uso: cada workspace tiene datos reales de un negocio real. Para que tu investigación se considere de buena fe:

• Usa únicamente cuentas de prueba propias.
• No accedas, modifiques ni conserves datos de otros clientes. Si te topas con datos ajenos, detente y dilo en el reporte.
• No degrades el servicio: sin pruebas de denegación de servicio, sin fuerza bruta masiva, sin envío masivo de correo.
• No uses ingeniería social contra nuestro personal, clientes o proveedores, ni accesos físicos.
• No publiques el hallazgo hasta que esté corregido o hasta que acordemos contigo una fecha.

6. Nuestro compromiso

• Acuse de recibo en un máximo de 5 días hábiles.
• Corrección priorizada por severidad, informándote del avance.
• Crédito público al reportante, si así lo desea.

No tenemos un programa de recompensas económicas por ahora. Todo reporte se atiende igual, pero no ofrecemos pago ni podemos comprometer uno a futuro.

7. Puerto seguro

No emprenderemos acciones legales ni administrativas contra quien investigue de buena fe respetando esta política, y consideraremos esa investigación autorizada. La protección no se extiende a la actividad que exceda lo descrito aquí, ni a los servicios de terceros de la sección 2, que se rigen por las políticas de cada proveedor.

8. Estado del producto

Alimmi está en fase previa al lanzamiento comercial: la plataforma opera con clientes piloto y sigue en desarrollo activo. Esta política y sus contactos son vigentes desde hoy; la fecha de expiración declarada en el archivo security.txt es el 1 de marzo de 2027, y la renovaremos antes de esa fecha.

English summary

Alimmi welcomes reports of security vulnerabilities affecting alimmi.com, api.alimmi.com and the *.alimmi.com subdomains we operate. Issues in third-party platforms we rely on (Cloudflare, Neon, Firebase, Stripe, Resend) should be reported to those vendors instead — including send.alimmi.com, which is delegated to our email provider and runs on infrastructure we do not operate.

Report through the contacts published in our security.txt (RFC 9116). Include clear reproduction steps, use only your own test accounts, never access or retain another customer's data, and do not degrade the service.

We acknowledge reports within 5 business days, fix by severity, and credit reporters who want it. There is no bug bounty at this time. Good-faith research that follows this policy is authorised and we will not pursue legal action over it.