En XYZ Comunicación diseñamos, programamos y alojamos webs, tiendas online y aplicaciones para empresas. Si crees que has encontrado un fallo de seguridad en algo que hemos hecho, queremos saberlo cuanto antes.
Cómo avisarnos
Escribe a seguridad@xyzcomunicacion.com con:
- la dirección de la web o el sistema afectado;
- qué has encontrado y cómo reproducirlo, paso a paso;
- qué podría conseguir quien lo aprovechara;
- cómo contactar contigo, si quieres que te tengamos al tanto.
Puedes escribir en español o en inglés. Si crees que alguien ya lo está aprovechando, ponlo en el asunto.
Qué haremos
- Te confirmaremos que lo hemos recibido en un plazo de 3 días laborables.
- En 10 días laborables te diremos si hemos podido comprobarlo y qué vamos a hacer.
- Lo corregiremos según su gravedad, cuanto antes, y te iremos contando.
- Si afecta a la web de un cliente, se lo diremos a él y a todos los que tengan el mismo fallo.
- Cuando la ley lo exija, lo comunicaremos a las autoridades.
- Si quieres, te mencionaremos cuando esté corregido. No pagamos recompensas.
Qué te pedimos
- Que no lo hagas público hasta que esté corregido o, como mucho, hasta 90 días después de tu aviso, salvo que acordemos otro plazo.
- Que hagas solo lo necesario para comprobarlo: no accedas, copies, cambies ni borres datos de otros más allá de lo imprescindible. Si llegas a ver datos personales, para, avísanos y bórralos.
- Que no hagas pruebas que tumben o ralenticen un servicio, ni pruebes contraseñas a lo bruto, ni engañes a personas (correos falsos, llamadas), ni lances escáneres automáticos a gran volumen.
- Muchas de las webs que hacemos son de nuestros clientes. Podemos recibir tu aviso sobre ellas, pero no podemos autorizarte a hacer pruebas en ellas.
Qué cubre
- xyzcomunicacion.com y sus subdominios.
- Las webs, tiendas y aplicaciones que hemos programado nosotros, estén alojadas donde estén.
- Nuestros servidores de alojamiento.
No cubre, y no suele ser un fallo que podamos corregir: informes automáticos sin una forma real de aprovecharlos; la falta de una cabecera o de un registro de correo (SPF, DKIM, DMARC) sin más; versiones de programas sin una prueba de que el fallo se puede aprovechar; ataques de denegación de servicio, spam o ingeniería social; y los servicios de otros (pasarelas de pago, Google, los WordPress que solo alojamos…), de los que hay que avisar a su responsable.
Nuestro compromiso
Si actúas de buena fe y sigues estas reglas, no emprenderemos acciones legales contra ti por investigar nuestros propios sistemas.
English
Found a security issue in something we built or host? Email seguridad@xyzcomunicacion.com with the affected URL, steps to reproduce, the impact and how to reach you. We will acknowledge it within 3 business days and give you a first assessment within 10. Please give us up to 90 days to fix it before disclosing, and do only what is needed to prove the issue: no access to others' data beyond the minimum, no denial of service, no brute force, no social engineering. Many sites we build belong to our clients: we welcome reports about them, but we cannot authorise testing on them. We do not pay bounties, but we are happy to credit you.
Última actualización: 26 de octubre de 2026.