Seguridad y notificación de vulnerabilidades

Dentro del alcance

• El sitio público y el panel de Legal (cuentas, suscripciones, monedero, mensajes).
• La API de Legal: control de acceso, acceso a contenidos de pago, filtración de datos de otras cuentas.
• La verificación de edad, la autenticación (2FA, passkeys) y la protección de los medios.

Fuera del alcance

• Los servicios de terceros (alojamiento, proveedor de pagos, proveedor de verificación de edad): notifícalos directamente a sus responsables.
• La denegación de servicio, el spam, la ingeniería social y los ataques físicos.
• Los resultados de escáneres automáticos sin demostrar un impacto real y las buenas prácticas ausentes sin consecuencias demostradas.

• Usa solo tus propias cuentas de prueba. No accedas a datos de otras personas, no los modifiques ni los copies más allá de lo necesario para demostrar la vulnerabilidad.
• Si te encuentras con datos personales o con un contenido sensible, detente, no lo conserves y notifícanoslo enseguida.
• Nada de denegación de servicio, pruebas de carga, ingeniería social ni ataques dirigidos a nuestro equipo, a nuestras creadoras o a nuestros miembros.
• Mantén el secreto hasta la corrección: no publiques nada antes de que hayamos corregido la vulnerabilidad o acordado una fecha contigo.
• Una notificación por vulnerabilidad, con los pasos para reproducirla. Los duplicados se agradecen, pero no se recompensan.

Si respetas estas reglas y actúas de buena fe, no emprenderemos acciones contra ti ni te denunciaremos ante las autoridades por estas investigaciones. Si lo deseas, haremos que se reconozca tu trabajo.

La gravedad se evalúa con una versión simplificada de la puntuación CVSS 3.1. Los importes de abajo son orientativos: el equipo fija la recompensa según el impacto real y la abona él mismo, fuera de la plataforma. No se paga nada automáticamente.

• Recibes un número de seguimiento y un código secreto: sirven para seguir el estado y adjuntar archivos.
• Una persona del equipo analiza tu notificación, evalúa la gravedad y te responde en la página de seguimiento.
• Cuando la vulnerabilidad está corregida, te lo decimos y, si estás de acuerdo, incluimos tu nombre en los agradecimientos.

También puedes escribir a security@legalsexe.com. El archivo security.txt de este sitio (RFC 9116) ofrece la misma información para las herramientas automáticas.