Seguridad y reporte de vulnerabilidades
Vigente desde el 26 de octubre de 2026
Si encontraste un fallo de seguridad en Orbik, queremos saberlo. Aquí está cómo reportarlo, qué pruebas puedes hacer sin pedir permiso y qué hacemos con lo que nos cuentes.
1. Cómo reportarlo
Escribe a soporte@orbik.app con el asunto «Seguridad». Cuéntanos:
- Qué encontraste y dónde: la dirección de la página o la ruta de la API.
- Cómo reproducirlo, paso a paso.
- Qué podría hacer alguien con eso.
- Si quieres, cómo te llamamos en el agradecimiento.
No publiques el fallo ni se lo cuentes a terceros hasta que esté corregido o hayan pasado 90 días desde tu reporte, lo que ocurra primero.
2. Qué pruebas puedes hacer
Con tu propia cuenta (una empresa de prueba que crees tú), puedes probar la seguridad del panel, la página de marcación, la app y la API. Mientras te ciñas a esto, no tomaremos ninguna acción legal contra ti y lo consideramos autorizado en los términos del contrato.
- Solo sobre tu cuenta y tus datos. Si llegas a ver datos de otra empresa o de otra persona, detente, no los guardes y avísanos.
- Sin pruebas de carga, denegación de servicio ni envío masivo de peticiones o correos.
- Sin ingeniería social, suplantación ni ataques a quienes trabajan en Orbik o a sus proveedores (Vercel, Railway, Cloudflare, Resend, Polar, Sentry): sus servicios tienen sus propios programas.
- Sin pruebas sobre el reconocimiento facial con fotos o datos de personas reales que no lo autorizaron.
- Sin borrar ni dañar información, y sin mantener el acceso más de lo necesario para mostrar el fallo.
3. Qué hacemos con tu reporte
- Te confirmamos que lo recibimos; la meta es hacerlo en tres días hábiles.
- Lo revisamos, te contamos si lo confirmamos y en qué tiempo esperamos corregirlo.
- Te avisamos cuando esté corregido y, si quieres, te damos el crédito.
- Si el fallo expuso datos personales, avisamos a las empresas afectadas y a quien corresponda, como dice la política de tratamiento de datos.
No hay recompensa en dinero por ahora. Lo que sí podemos ofrecerte es el agradecimiento público, si lo quieres.
4. Lo que ya sabemos
El reconocimiento facial y su protección contra fotos no están certificados y no resisten un ataque preparado: está dicho en los términos y en la política de tratamiento de datos. Un reporte que solo confirme eso no hace falta, pero uno que muestre un camino nuevo, sí.