Informar de una vulnerabilidad
Escríbenos a security@digismoothie.com e incluye:
- una descripción del problema y de su posible impacto,
- los pasos para reproducirlo (una prueba de concepto ayuda),
- la aplicación, URL o endpoint afectados.
Nuestro objetivo es confirmar la recepción de los informes en un plazo de 5 días hábiles y mantenerte informado mientras investigamos y solucionamos el problema.
Alcance
El alcance incluye todas las aplicaciones de Shopify publicadas por Digismoothie, así como los sitios web y servicios backend que las respaldan.
Fuera del alcance:
- vulnerabilidades de la propia plataforma Shopify – infórmalas a través del programa de bug bounty de Shopify en HackerOne,
- tiendas Shopify, aplicaciones personalizadas e integraciones que desarrollamos para los clientes de nuestra agencia (consulta «Proyectos de clientes» más abajo),
- ataques de denegación de servicio, pruebas de carga y spam,
- ingeniería social o phishing dirigidos a nuestro equipo o a nuestros comerciantes,
- informes sin un impacto de seguridad demostrado (p. ej., resultados de escáneres automáticos, cabeceras ausentes, configuración SPF/DMARC del correo electrónico).
Pautas para las pruebas
- Realiza pruebas solo en tu propia tienda de desarrollo de Shopify.
- No accedas a datos que no sean tuyos ni los modifiques o elimines. Si encuentras datos de comerciantes o clientes, detente y avísanos.
- Danos un plazo razonable para solucionar el problema antes de hacerlo público.
Proyectos de clientes
Las tiendas Shopify, aplicaciones personalizadas e integraciones que desarrollamos como agencia pertenecen a nuestros clientes y son gestionadas por ellos, por lo que no podemos autorizar pruebas de seguridad sobre ellas. Si encuentras una vulnerabilidad en alguno de estos proyectos, no sigas probando, pero infórmanos de lo que has encontrado en security@digismoothie.com. Coordinaremos la solución con el cliente.
Reconocimiento
No tenemos un programa de bug bounty remunerado, pero valoramos los informes responsables y estaremos encantados de mencionarte públicamente una vez resuelto el problema, si así lo deseas.
Cómo protegemos los datos de los comerciantes
Las medidas técnicas y organizativas que aplicamos se describen en el Anexo 1 de nuestro Acuerdo de Tratamiento de Datos. Para saber cómo tratamos los datos personales, consulta nuestra Política de Privacidad.
Supervisión de la seguridad
Las consultas de seguridad están supervisadas por Tomáš Buzek, CTO.