Seguridad y reporte de vulnerabilidades

Esta traducción se ofrece solo con fines informativos. En caso de discrepancia, prevalece la versión en español.

La seguridad es la base de todo lo que hacemos. Si has encontrado una vulnerabilidad en cualquiera de nuestros proyectos, te agradecemos que nos la comuniques de forma responsable para que podamos corregirla cuanto antes.

1. Qué abarca

• Esta web (firebotdevs.com) y su API (api.firebotdevs.com).
• El bot FireFighter, su web (firefighterbot.xyz), su dashboard y su API.
• Los futuros proyectos de FireBotDevs S.A. a medida que se publiquen.

Quedan fuera los servicios de terceros que usamos, como Discord, Netlify, Railway, Cloudflare o MongoDB Atlas: si encuentras un fallo en ellos, comunícaselo directamente.

2. Cómo reportarlo

• Por correo electrónico a info@firebotdevs.com, con el asunto «Seguridad».
• Por el formulario de contacto, eligiendo el tema «Seguridad».
• Para FireFighter también puedes usar el chat de soporte cifrado de su web o escribir a support@firefighterbot.xyz.
• Puedes escribirnos en español o en inglés.

3. Qué incluir en el reporte

• Qué has encontrado y en qué parte (URL, endpoint o comando).
• Los pasos para reproducirlo.
• El impacto que crees que tiene.
• Si los tienes, capturas o una prueba de concepto mínima.

4. Qué te pedimos

• No accedas, modifiques ni borres datos de otras personas más allá de lo imprescindible para demostrar el fallo.
• No hagas ataques de denegación de servicio, spam ni ingeniería social contra nuestro equipo o nuestros usuarios.
• No publiques los detalles hasta que hayamos tenido un tiempo razonable para corregirlo.
• No incluyas datos personales de terceros en el reporte.

5. Qué puedes esperar de nosotros

• Confirmaremos que hemos recibido tu reporte lo antes posible y te mantendremos informado.
• No emprenderemos acciones contra quien actúe de buena fe y siga estas pautas.
• Si lo deseas, reconoceremos públicamente tu aportación cuando el fallo esté corregido.
• Por ahora no ofrecemos recompensas económicas por los reportes.

6. Cómo protegemos nuestros proyectos

• Conexión cifrada (HTTPS con HSTS) y cabeceras de seguridad estrictas, incluida una política de seguridad de contenidos.
• Límites de peticiones y bloqueo automático de las direcciones que muestran patrones de ataque.
• Chat de soporte de FireFighter con cifrado de extremo a extremo.
• Claves y credenciales fuera del código y renovación inmediata ante cualquier incidente.
• Datos mínimos: guardamos solo lo necesario y lo borramos cuando deja de serlo.
• Transparencia: publicamos informes de los incidentes, como el incidente de Railway de octubre de 2026.

7. Si crees que tu cuenta está en riesgo

Nunca te pediremos tu contraseña, tu token ni tus códigos de verificación. Si alguien dice ser de nuestro equipo y te los pide, no respondas y avísanos.

Comprueba siempre que estás en nuestros dominios oficiales: firebotdevs.com, firebotdevs.dev y firefighterbot.xyz.

También publicamos nuestro archivo security.txt con los datos de contacto para investigadores.