Seguridad y reporte de vulnerabilidades

Para que podamos reproducir y corregir el problema con rapidez, incluya en la medida de lo posible:

• Una descripción del hallazgo y de su impacto potencial.
• Los pasos para reproducirlo, con URL, peticiones o fragmentos de código relevantes.
• El entorno en que lo observó (navegador, fecha y hora, cuenta de prueba si la usó).
• Cómo prefiere que le acreditemos, si desea reconocimiento público, o si prefiere permanecer en el anonimato.

Si el reporte contiene datos personales de terceros que encontró de forma accidental, no los copie en el correo: indique solo qué tipo de datos vio y dónde. Si necesita enviarnos información sensible, pídanos primero una clave pública para cifrarla.

Valoramos el trabajo de quienes investigan la seguridad de buena fe. Si usted cumple estas condiciones, consideraremos su investigación autorizada, no iniciaremos acciones legales en su contra ni la denunciaremos, y le ayudaremos a entender el alcance de esta autorización si un tercero lo cuestiona:

• Actúe de buena fe, con el único objetivo de identificar y reportar el problema.
• No acceda, modifique, descargue ni conserve datos de terceros más allá de lo estrictamente necesario para demostrar la vulnerabilidad; si accede a datos por accidente, deténgase y repórtelo.
• No degrade el servicio: nada de denegación de servicio, fuerza bruta masiva, spam ni ingeniería social contra nuestros usuarios o proveedores.
• Use únicamente cuentas de prueba propias; no intente acceder a cuentas ajenas.
• Denos un plazo razonable para corregir antes de divulgar públicamente, y coordine con nosotros la divulgación.
• Respete la ley aplicable en su jurisdicción y en Colombia.

No ofrecemos actualmente un programa de recompensas económicas. Sí reconocemos públicamente, si usted lo desea, a quienes nos ayudan a mejorar.

Dentro del alcance

El sitio y el panel en https://www.listoagent.net y sus subdominios, la API pública (rutas /api, /webhook, /l/ y /c/), la autenticación, el aislamiento entre espacios de trabajo, el manejo de credenciales de proveedores y el procesamiento de mensajes entrantes.

Fuera del alcance

Los servicios de terceros de los que dependemos (Meta, Telegram, proveedores de modelos de lenguaje y de alojamiento), que tienen sus propios programas; los sitios web de las empresas cliente; ataques de denegación de servicio; ingeniería social; acceso físico; hallazgos que requieran un navegador o sistema desactualizado; y reportes de escáneres automáticos sin prueba de explotación.

• Acuse de recibo: dentro de los 3 días hábiles siguientes a la recepción del reporte.
• Evaluación inicial: dentro de los 10 días hábiles siguientes, con una calificación de severidad y un plan de corrección.
• Corrección: las vulnerabilidades críticas se priorizan de inmediato; para el resto acordaremos un plazo razonable con usted y le mantendremos informado.
• Divulgación coordinada: una vez corregido, podrá publicar su hallazgo; le pedimos un máximo de 90 días desde el reporte antes de una divulgación unilateral.

Estas son las medidas que la plataforma aplica hoy, descritas sin adornos:

Cifrado en tránsito

Toda comunicación entre su navegador, las plataformas de mensajería, los proveedores de modelos y nuestros servidores viaja sobre TLS.

Cifrado de credenciales en reposo

Las claves de API de los proveedores de modelos y los secretos de los canales se cifran campo por campo con AES-256-GCM antes de guardarse en la base de datos; la clave de cifrado nunca se almacena junto a los datos.

Aislamiento por cliente

Cada consulta a la base de datos que toca datos de un cliente filtra por su identificador de espacio de trabajo, sin excepciones por rol. Cada método de acceso a datos se prueba verificando que un cliente no pueda leer los datos de otro.

Autenticación

Autenticación propia con tokens JWT firmados que caducan a los 7 días. Las contraseñas se almacenan únicamente como hash con sal (bcrypt, factor de coste 12, mediante Bun.password), nunca en claro ni de forma reversible.

Verificación de webhooks

Los mensajes entrantes de las plataformas de mensajería se verifican antes de procesarse: firma HMAC sobre el cuerpo original de la petición en el caso de Meta y secreto compartido en el caso de Telegram.

Enlaces y redirecciones

Los enlaces rastreados solo redirigen a destinos configurados por el cliente y almacenados en el servidor; nada de la petición puede alterar el destino. Los tokens se guardan como hash.

Registro y retención mínima

Los registros técnicos se conservan 7 días por defecto y se purgan automáticamente. Los clics en enlaces registran el agente de usuario, no la dirección IP.

Control de acceso

Permisos por rol dentro de cada espacio de trabajo y registro de auditoría de las acciones administrativas.

Si un incidente de seguridad afecta a datos personales, lo notificaremos sin dilación indebida: a las empresas cliente afectadas, para que puedan cumplir sus propias obligaciones como Responsables; a la autoridad de control competente cuando proceda, en un plazo máximo de 72 horas desde que tengamos constancia (RGPD, Art. 33); a la Superintendencia de Industria y Comercio y a los titulares afectados cuando se presenten violaciones a los códigos de seguridad o riesgos en la administración de la información (Ley 1581 de 2012, artículo 17, literal n); y a las personas afectadas cuando el incidente suponga un alto riesgo para sus derechos (RGPD, Art. 34).

La notificación describirá la naturaleza del incidente, las categorías y el número aproximado de afectados, las consecuencias probables y las medidas adoptadas. Los datos de contacto para estos asuntos están en la Política de Privacidad.