Política de seguridad y divulgación responsable

Vigente desde el 30 de octubre de 2026 · Belvic Security, operado por Belvic Group, St. Catharines, Ontario, Canadá

Proteger a otras empresas es nuestro trabajo, así que queremos saber de cualquier debilidad en nuestros propios sistemas. Si cree haber encontrado una vulnerabilidad en Belvic Security, avísenos en privado y denos la oportunidad de corregirla antes de que otros la conozcan.

Cómo informar

Escriba a [email protected] con el asunto Security report. Incluya:

• Qué encontró y dónde (la página, la URL o el endpoint)
• Los pasos para reproducirlo
• Qué podría hacer un atacante con ello
• Cómo contactarle y si desea que le demos crédito

No incluya información personal de otras personas en su informe.

Nuestros compromisos

• Confirmar la recepción de su informe en 3 días hábiles
• Darle una evaluación y un plazo estimado en 10 días hábiles
• Mantenerle informado hasta que esté corregido y avisarle cuando lo esté
• Darle crédito públicamente una vez corregido, si lo desea

No tenemos un programa de recompensas, pero agradecemos cada informe de buena fe.

Dentro del alcance

• belvicsecurity.ca y sus subdominios, incluidas las herramientas gratuitas y sus endpoints /api/
• El correo enviado desde belvicsecurity.ca (por ejemplo, una forma de enviar correo que pase como nuestro)
• Los informes, guías de corrección y enlaces que enviamos a los clientes

Fuera del alcance

• La denegación de servicio, las pruebas de carga o cualquier cosa que degrade el servicio para otros
• La ingeniería social, el phishing o los ataques físicos contra nosotros o nuestros clientes
• El spam o los intentos de fuerza bruta contra nuestros formularios
• Los servicios que usamos pero no operamos (como Cloudflare, Square, Resend y GitHub): infórmelos al proveedor
• Los resultados de escáneres automáticos sin un impacto real demostrado
• Los resultados que nuestras herramientas muestran sobre dominios de otras personas (para eso son)

Puerto seguro

Si sigue esta política de buena fe, no iniciaremos ni apoyaremos acciones legales contra usted y consideraremos su investigación como autorizada. Esto significa:

• Pruebe solo con sus propias cuentas y datos, y deténgase en cuanto haya demostrado el problema
• No acceda, modifique ni guarde datos de otras personas. Si los encuentra, deténgase y avísenos
• No interrumpa el servicio ni lo degrade para otros
• Denos un plazo razonable para corregir el problema (normalmente hasta 90 días) antes de hablar de ello públicamente

Contacto legible por máquina

Nuestro archivo security.txt indica esta política y nuestro contacto de seguridad, según la RFC 9116.