Si crees que has encontrado un problema de seguridad en 50heads, queremos saberlo, en privado y antes que nadie. Esta página explica cómo informar, qué cubre, qué puedes esperar de nosotros y qué te pedimos. Es una política de buena fe, no un contrato ni asesoramiento jurídico. Hay más sobre cómo protegemos 50heads en la página de seguridad.

Cómo informar

Usa el formulario de contacto y elige Seguridad. Crea un ticket que ve nuestro equipo. No publicamos un buzón de seguridad; nuestro security.txt señala el mismo formulario.

Escribe en inglés si puedes e incluye:

  • qué has encontrado y dónde (la dirección, la pantalla o el endpoint);
  • los pasos para reproducirlo y lo que viste;
  • qué crees que podría hacer alguien con ello;
  • cómo contactarte y el nombre que quieres que usemos si te damos las gracias.

Por favor, no pongas en el formulario contraseñas, claves, datos personales de otras personas ni archivos de exploit. Si necesitas enviar algo sensible, dínoslo y acordaremos una forma de recibirlo.

Qué cubre

  • 50heads.com, api.50heads.com, mcp.50heads.com y auth.50heads.com.
  • Las apps de 50heads para iOS y Android.
  • Los paquetes que publicamos: @50heads/mcp y @50heads/cli.

Qué no cubre

  • Pruebas de denegación de servicio o de carga, y cualquier cosa que empeore el servicio para otras personas.
  • Ingeniería social, phishing o ataques físicos contra el personal, los heads o quienes preguntan.
  • Avisos que solo dicen que falta una cabecera de seguridad, un registro DNS o un ajuste de correo, sin forma de aprovecharlo.
  • Hallazgos en servicios de los que dependemos, como Stripe, Wise, Cloudflare o Resend. Avisa al proveedor.
  • Cuentas, preguntas o datos que no son tuyos.

Qué te pedimos

  • Prueba solo con cuentas tuyas y para en cuanto hayas demostrado que el problema existe.
  • No leas, cambies, guardes ni compartas datos de otras personas. Si das con alguno, para, avísanos y bórralo.
  • No interrumpas el servicio ni muevas dinero real a través de él.
  • Danos un plazo razonable para arreglarlo antes de contárselo a nadie más. Acordaremos una fecha contigo y queremos corregir pronto los problemas graves.

Qué puedes esperar de nosotros

  • Responderemos a todos los avisos.
  • Te diremos si creemos que es un problema real y te mantendremos al tanto hasta que esté arreglado.
  • No te pediremos que firmes nada antes de mirar tu aviso.
  • Si quieres, te daremos las gracias con tu nombre en la página de seguridad cuando esté arreglado.

Puerto seguro

Si sigues esta política y actúas de buena fe, no emprenderemos acciones legales contra ti, ni pediremos a la policía que lo haga, por una investigación que se mantenga dentro de ella. Se lo diremos a quien nos pregunte por tu aviso.

No podemos hablar por otras personas. Esta página no obliga a un tercero cuyos sistemas hayas tocado, a una fiscalía ni a un regulador, y no te permite infringir la ley. Si dudas de que algo esté permitido, pregúntanos antes por el formulario.

Todavía sin recompensa

Ahora mismo no pagamos por los avisos. Preferimos decirlo ya a que lo descubras después. Si cambia, aparecerá primero en esta página.