¿Encontraste una vulnerabilidad? Avísanos primero.

Cualquier sistema que atiende a Kirky, incluidos:

• kirkyapp.com y sus subdominios, incluido el portal de clientes
• El script del widget y el SDK que se sirven desde cdn.kirkyapp.com
• Las APIs de Kirky que llaman el widget y el portal
• El conector de base de datos de código abierto

Por favor no pruebes ni reportes lo siguiente:

• Denegación de servicio, pruebas de carga o cualquier cosa que degrade el servicio para otros
• Ingeniería social, phishing o ataques físicos contra nuestro equipo o nuestros clientes
• Sistemas de nuestros clientes, incluidas las apps donde Kirky está integrado
• Reportes de escáneres automáticos sin un impacto demostrado
• Encabezados de seguridad faltantes o recomendaciones sin una consecuencia explotable
• Lograr que una respuesta de IA diga algo extraño, salvo que cruce la frontera de un espacio de trabajo, filtre datos o evite un permiso

Escribe a security@kirkyapp.com, en español o en inglés. Si los detalles son delicados, pídenos una llave de cifrado en tu primer mensaje y te responderemos con una.

Un buen reporte incluye:

• Qué encontraste y por qué importa
• Los pasos para reproducirlo, con las URLs, solicitudes o cargas involucradas
• Las cuentas o espacios de trabajo que usaste (usa tu propio espacio de prueba, nunca el de alguien más)
• Cómo te gustaría que te diéramos crédito, si es que quieres

• Accede solo a datos que sean tuyos. Si llegas a datos de alguien más, detente, no los guardes ni los compartas, y avísanos.
• No cambies ni borres datos que no sean tuyos.
• Danos una oportunidad razonable de corregir el problema antes de divulgarlo públicamente.

Cuando reportas de buena fe:

• Confirmamos que recibimos tu reporte y te decimos quién lo atiende
• Te mantenemos al tanto mientras investigamos y lo corregimos
• Te avisamos cuando esté resuelto y acordamos contigo cuándo hacerlo público
• Te damos crédito públicamente si así lo quieres

Si haces un esfuerzo de buena fe por seguir esta política, consideramos autorizada tu investigación, no emprenderemos ni apoyaremos acciones legales en tu contra por ella, y si un tercero actúa en tu contra por una investigación que siguió esta política, haremos saber que actuaste con nuestra autorización.

Todavía no tenemos un programa de recompensas. Agradecemos cada reporte, y lo diremos públicamente si así lo quieres.