Programa de divulgación de vulnerabilidades
Programa de Divulgación de Vulnerabilidades de Athan Sec
Recibimos reportes de vulnerabilidades en los activos operados por Athan Sec, listados en el alcance de abajo. Esta página contiene el conjunto completo y público de reglas del programa.
- Tipo de programa
- Vulnerability Disclosure Program (VDP) — sin recompensas económicas
- Lanzamiento
- Última actualización
- 13 de noviembre de 2026 · v1.1
- Operado por
- Athan Sec (Santiago Forero Pareja), Colombia
- Reportar a
- security@athansec.fyi
- Reconocimiento
- Hall of Fame público (opcional)
Alcance
Dentro del alcance
| Activo | Tipo |
|---|---|
| athansec.fyi | Website |
| www.athansec.fyi | Website |
| athansec.fyi — DNS & email authentication (MX, SPF, DKIM, DMARC) | DNS |
| duplashoes.com (Duplashoes storefront, operated by Athan Sec) | Website |
| www.duplashoes.com | Website |
Fuera del alcance
- Servicios de terceros que usamos — Cloudflare, Porkbun, GitHub, Gmail, WhatsApp, HackerOne, Intigriti y otros. Reporta sus fallas a sus propios programas.
- Cualquier otro host en workers.dev o cualquier dominio no listado arriba.
- Cualquier otro sitio o sistema de clientes que no esté listado explícitamente en el alcance. Esta política nunca autoriza probarlos.
- Seguridad física, ingeniería social, phishing a personas o ataques a cuentas personales.
Hallazgos que normalmente no califican
athansec.fyi es un sitio estático sin logins, formularios ni bases de datos; duplashoes.com es un catálogo de productos con un formulario de suscripción al newsletter. Estos casos no se aceptan salvo que demuestres un impacto concreto:
- Cabeceras, flags de cookies o cifrados TLS de “buenas prácticas” sin un exploit funcional.
- Clickjacking en páginas sin acciones que cambien estado; self-XSS; open redirects sin cadena de impacto.
- Observaciones de SPF/DKIM/DMARC que sean solo recomendaciones de política, sin un spoofing demostrado que las evada.
- Divulgación de versiones, banners, o resultados no verificados de escáneres automáticos.
- Denegación de servicio, rate limiting o agotamiento de recursos.
- Fallas en navegadores desactualizados o que requieran un dispositivo comprometido.
Reglas de participación
- Prueba solo los activos listados como dentro del alcance.
- Nada de denegación de servicio, pruebas de carga ni tráfico por encima de unas pocas peticiones por segundo. Limita las herramientas automáticas.
- No envíes spam ni registros masivos por formularios (como el newsletter de duplashoes.com). Usa solo tus propios correos al probarlos.
- No accedas, modifiques ni borres datos más allá de lo mínimo para demostrar impacto. Si encuentras datos sensibles, detente y repórtalo.
- Nada de ingeniería social, phishing, spam ni intentos físicos.
- No divulgues públicamente una vulnerabilidad antes de que se corrija o de que termine la ventana de coordinación.
- Cumple todas las leyes aplicables.
Cómo reportar
Envía el reporte a la dirección de abajo. Un buen reporte incluye:
- El activo y la URL afectados.
- El tipo de vulnerabilidad y una descripción del impacto.
- Pasos de reproducción, con prueba de concepto, petición/respuesta o capturas.
- Si quieres recibir crédito, y con qué nombre.
- RFC 9116
- /.well-known/security.txt
Qué puedes esperar de nosotros
- Acuse de recibo de tu reporte en un máximo de 5 días hábiles.
- Una evaluación inicial en un máximo de 10 días hábiles, y actualizaciones mientras trabajamos en la corrección.
- Crédito en el Hall of Fame por hallazgos válidos y no conocidos previamente, si lo deseas.
- Ninguna acción legal por investigación que siga esta política (ver Safe harbor).
Divulgación coordinada
Pedimos hasta 90 días desde el primer reporte para corregir una falla válida antes de su divulgación pública. Intentaremos resolverla antes y podemos acordar otra fecha contigo. Una vez corregida, puedes publicar tus hallazgos; con gusto revisamos el write-up antes.
Recompensas
Este es un Programa de Divulgación de Vulnerabilidades. Athan Sec no ofrece recompensas económicas, bounties ni regalos. Los hallazgos válidos se reconocen públicamente en el Hall of Fame, con tu consentimiento.
Safe harbor
La investigación de seguridad realizada de buena fe y conforme a esta política se considera autorizada por Athan Sec. No iniciaremos acciones civiles o penales, ni presentaremos denuncias ante las autoridades, en tu contra por esa investigación. Si un tercero inicia acciones legales contra ti por actividades que cumplieron esta política, daremos a conocer que tus acciones estaban autorizadas.
Esta autorización solo cubre los activos dentro del alcance listados arriba. Athan Sec no puede autorizar pruebas sobre sistemas de terceros.
Hall of Fame
Aún no hay entradas. El programa se lanzó el 13 de noviembre de 2026.
Historial de cambios
- v1.1Se añadieron duplashoes.com y www.duplashoes.com al alcance.
- v1.0Lanzamiento del programa.
Se aceptan reportes en inglés o español. En caso de discrepancia prevalece la versión en inglés.