Divulgación de vulnerabilidades
Si encontraste un problema de seguridad en AI Workforce OS, queremos saberlo. Somos un equipo pequeño: no hay programa de recompensas ni plazos garantizados, pero cada reporte se lee, se investiga y se responde.
En esta página
- Cómo reportar
- Qué está en alcance
- Qué está fuera de alcance
- Puerto seguro
- Qué puedes esperar de nosotros
- Qué hacemos con cada reporte
Cómo reportar#
- Escribe a info@workforceai.es con el asunto "Vulnerabilidad". Es el mismo contacto que publica nuestro
security.txt(RFC 9116). - Describe el problema, el componente afectado, los pasos para reproducirlo y el impacto que crees que tiene. Una prueba de concepto mínima ayuda mucho.
- No incluyas datos reales de terceros. Si accediste por accidente a datos que no son tuyos, no los conserves y cuéntanoslo en el reporte.
Contact: mailto:info@workforceai.es
Expires: 2027-10-13T00:00:00.000Z
Preferred-Languages: es, en
Canonical: https://workforceai.es/.well-known/security.txt
Policy: https://workforceai.es/docs/modelo-de-seguridad/Nota
Hoy no publicamos una clave PGP. Si necesitas enviarnos algo sensible, escríbenos primero y acordamos un canal cifrado. Puedes escribir en español o en inglés.
Qué está en alcance#
Nos interesa especialmente: fugas de datos entre organizaciones, evasión de autenticación, SSO, MFA o permisos, evasión de aprobaciones, topes de gasto o kill switch, exposición de credenciales o secretos, abuso de enlaces de aprobación firmados, SSRF desde webhooks o herramientas web, y manipulación de la cadena de auditoría.
- El sitio público
workforceai.es. - La aplicación en
app.workforceai.es, su API (/api/v1), la API pública con tokens (/api/public/v1) y el WebSocket (/ws). - El código del producto: backend en Go, runtime de agentes en Python y frontend.
Qué está fuera de alcance#
- Servicios de terceros: proveedores de modelos de IA, alojamiento, correo y los servicios que conecta cada cliente.
- Denegación de servicio, pruebas de carga y escaneo automatizado masivo o ruidoso.
- Ingeniería social, phishing o acceso físico.
- Spam y reportes que solo señalan la ausencia de una cabecera o buena práctica sin un impacto demostrable.
Consejo
Una cuenta de prueba es un buen lugar para investigar sin tocar datos de nadie. No la uses para degradar el servicio.
Puerto seguro#
Si actúas de buena fe y respetas esta política, no emprenderemos acciones legales contra ti ni te denunciaremos por tu investigación. Buena fe significa:
- Probar solo lo necesario para demostrar el problema.
- No acceder, modificar ni borrar datos de otras personas más allá del mínimo imprescindible.
- No degradar el servicio ni extorsionar.
- No publicar detalles hasta que esté corregido, dándonos un plazo razonable para hacerlo.
Nota
Este texto es una declaración de intención, no un contrato, y no puede obligar a terceros como nuestros proveedores. Está pendiente de revisión por un abogado.
Qué puedes esperar de nosotros#
Son intenciones, no compromisos de nivel de servicio. Intentamos acusar recibo en pocos días hábiles, confirmar o descartar el problema tras investigarlo, mantenerte informado y avisarte cuando esté corregido. El plazo de corrección depende de la gravedad y de nuestra capacidad.
Coordinamos contigo la publicación y, si quieres, te reconocemos públicamente como quien lo reportó. Hoy no ofrecemos recompensas económicas.
Qué hacemos con cada reporte#
Evaluamos el impacto, priorizamos y corregimos en el repositorio, con una prueba de regresión cuando es posible. Si el hallazgo afectó datos de clientes, avisamos a las organizaciones afectadas según exija la ley aplicable.
Para saber qué controles existen y cuáles no, consulta la página de seguridad y el modelo de seguridad de la documentación técnica, que incluye sus limitaciones conocidas.