Política de divulgación de vulnerabilidades

Banger Mail acepta la investigación de seguridad de buena fe. Si crees que has encontrado una vulnerabilidad, escribe a security@team.bangermail.com. Incluye el host o la aplicación afectada, los pasos para reproducirla, su posible impacto y los registros o capturas que nos ayuden a entenderla. Actualmente no publicamos una clave PGP; evita enviar secretos, datos personales o contenido de buzones que no sean necesarios.

Cómo comunicar un problema

Envía un informe por problema cuando sea posible. Incluye los detalles necesarios para reproducir el comportamiento de forma segura e indica si crees que se está explotando activamente. Deja de hacer pruebas cuando tengas suficientes evidencias para demostrar la vulnerabilidad.

Alcance

Dentro del alcance:

• app.bangermail.com, la aplicación web de Banger;
• api.bangermail.com, la API de Banger, incluido el servidor MCP en api.bangermail.com/mcp y sus endpoints OAuth;
• auth.muchbetterapps.com, el servicio de inicio de sesión de Banger (conserva el antiguo nombre de nuestra empresa);
• cloud.bangermail.com, que gestiona las conexiones de buzones de Google; y
• bangermail.com, el sitio público, incluidas sus herramientas gratuitas.

Son especialmente útiles los informes sobre autenticación, OAuth y autorización de agentes, claves de API, permisos de herramientas MCP, acceso entre espacios de trabajo, enrutamiento del correo, envío desde el dominio de otro cliente, protección de datos de buzones o exposición de datos sensibles.

Fuera del alcance

Quedan fuera del alcance las denegaciones de servicio o las pruebas automatizadas de gran volumen, la ingeniería social, los ataques físicos, la toma de cuentas por reutilización de contraseñas y las vulnerabilidades presentes únicamente en servicios de terceros que BangerMail Inc. no opera. No envíes spam, no hagas phishing ni ataques con credenciales robadas, no mantengas accesos persistentes ni extraigas datos, y no consultes datos más allá de lo necesario para demostrar el problema.

Plazo de acuse de recibo

Acusaremos recibo de los informes dentro del alcance en un plazo de 3 días hábiles y podemos pedir más detalles durante la investigación. Priorizamos los informes según el posible impacto para los usuarios, la facilidad de explotación y si parecen afectar a los datos del buzón o al acceso a la cuenta.

Protección para investigadores

Consideramos autorizada la investigación de buena fe que cumpla esta política. Si te mantienes dentro del alcance, evitas daños a la privacidad e interrupciones del servicio, comunicas rápidamente los accesos accidentales y no conservas ni compartes datos, no emprenderemos acciones legales por esa investigación.

Divulgación coordinada

El plazo habitual de divulgación coordinada es de 90 días tras el acuse de recibo, salvo que acordemos otro plazo o que una explotación activa requiera actuar antes. Este programa no ofrece recompensas económicas por vulnerabilidades.