¿Encontraste algo? Puerto seguro, por escrito.
Trustvice es una plataforma de cumplimiento y confianza: el listón que pedimos a nuestros clientes nos lo pedimos a nosotros. Si encuentras una vulnerabilidad, infórmala de buena fe a security@trustvice.com y estás protegido: un alcance definido, un SLA de respuesta y una ventana coordinada de 90 días antes de la divulgación pública. Esta página es el compañero legible del /.well-known/security.txt.
Puerto seguro
Actúa de buena fe, y no te perseguiremos.
La investigación de seguridad realizada bajo esta política está autorizada. No iniciaremos ni apoyaremos acciones legales contra ti, y consideramos que tus pruebas están en buena fe bajo la legislación aplicable de uso indebido de ordenadores y anticonvencimiento, siempre que:
- Accedas solo a datos y cuentas que sean tuyos, o para los que tengas permiso explícito de prueba.
- No tomes más datos de los necesarios para demostrar el problema, y nunca almacenes, compartas ni uses datos de clientes que encuentres.
- No degradas el servicio, exfiltras datos ni pivotes para atacar a otros clientes.
- Nos des un tiempo razonable (90 días) para remediar antes de la divulgación pública, y coordines el calendario con nosotros.
- Cumplas toda la legislación aplicable.
Si un tercero te demanda por una actividad que cumplió esta política, haremos saber que tus acciones estaban autorizadas.
Cómo informar
Un buzón. Lo lee un humano.
Una descripción clara del problema y su impacto de seguridad.
Reproducción paso a paso — petición/respuesta, URL, contexto de cuenta/workspace (usa el tuyo).
El activo afectado (host, endpoint o superficie) y la hora de la prueba (UTC).
Cualquier código de prueba de concepto o capturas — el mínimo necesario para demostrar el problema.
Alcance
Qué entra, qué queda fuera.
Dentro de alcance
- www.trustvice.com y el sitio de marketing
- app.trustvice.com — el dashboard del cliente
- api.trustvice.com — la superficie de gateway / API agéntica
- ui.tve.world — el origen del iframe de confirmación de MCP Apps (deliberadamente un dominio registrable distinto de trustvice.com, para que ninguna cookie de sesión llegue)
- Los endpoints /.well-known/* de descubrimiento y claves criptográficas
- Autenticación (WebAuthn / FIDO2, magic links) y manejo de sesión
Fuera de alcance
- Hallazgos contra nuestros subprocesadores (Cloudflare, Amazon Web Services, Stripe, proveedores de fraude) — infórmalos al proveedor; avísanos si la causa es una mala configuración de Trustvice.
- Pruebas volumétricas / denegación de servicio, fuerza bruta o de carga.
- Ingeniería social de personal o clientes, y ataques físicos.
- Informes de buenas prácticas sin impacto demostrado (p. ej. una cabecera ausente, nits de SPF/DMARC, revelación de versión) sin un exploit concreto.
- Spam, self-XSS, o problemas que exijan un dispositivo de víctima plenamente comprometido.
Qué puedes esperar de nosotros
Un calendario, no un vacío.
Acuse en 2 días laborables
Confirmamos la recepción de tu informe y le asignamos una referencia de seguimiento. Un humano lee cada informe enviado a security@trustvice.com.
Triage + severidad en 5 días laborables
Validamos, asignamos una severidad y te contamos nuestro plan de remediación. Reflejamos la disciplina de SLA de disputas ya publicada en /security: crítico 24 h · alto 3 d · medio 7 d · bajo/info 14 d para la primera respuesta de sustancia.
Ventana coordinada de 90 días
Pedimos hasta 90 días para remediar antes de la divulgación pública, y te mantenemos informado del progreso. Si un arreglo necesita más, acordamos una prórroga contigo en lugar de desaparecer.
Crédito, si lo quieres
Con tu permiso te acreditamos por nombre o handle cuando el arreglo se publique. Trustvice es pre-ingresos y no opera actualmente un bounty de pago: esto es un programa de puerto seguro y reconocimiento, dicho con claridad.
Legible por máquina + más lectura
Trustvice 360Declara las reglas. Que cada ejecución se compruebe.
Agentes, evidencias, gobernanza, comercio y divulgación están en Trustvice 360. Regístrate gratis y abre todas las suites desde un solo panel.