Divulgación responsable de vulnerabilidades

Si encontraste una vulnerabilidad en Vantik Markets, queremos saberlo antes que nadie. Esta página explica qué reportar, por dónde y qué podés esperar de nosotros. Es el documento al que apunta nuestro archivo /.well-known/security.txt.

1. Alcance

Está dentro del alcance todo lo que opera bajo vantikmarkets.com y sus subdominios: el sitio, la terminal, la API, el canal de precios en tiempo real y el panel de administración. Nos interesan especialmente:

• Acceso a datos o fondos de otros usuarios, o a información interna de la Plataforma.
• Fallas de autenticación, segundo factor, passkeys, recuperación de cuenta o sesiones.
• Errores en depósitos, retiros, saldos, liquidación de operaciones o límites.
• Inyección de código, escalación de privilegios, fugas por cabeceras o configuración.

2. Cómo reportar

Escribinos con una descripción clara, los pasos para reproducir el problema y, si podés, una prueba de concepto mínima a [email protected]. Podés escribir en español o en inglés. No hace falta que incluyas tus datos personales; si querés reconocimiento público, decilo en el mensaje.

3. Reglas del juego

• No accedas, modifiques ni descargues datos de otros usuarios más allá de lo mínimo para demostrar la falla; si encontrás datos ajenos, frená y avisanos.
• Nada de denegación de servicio, fuerza bruta masiva, spam ni ingeniería social contra nuestro equipo o nuestros usuarios.
• Usá solo cuentas propias (la cuenta demo sirve para casi todo) y no operes con dinero real para probar una falla.
• Dale tiempo a la corrección antes de publicar detalles: pedimos hasta 90 días desde el acuse de recibo, y lo coordinamos con vos.

4. Qué podés esperar

Acusamos recibo dentro de los 3 días hábiles, te contamos si el reporte es válido y cuál es el plan, y te avisamos cuando esté corregido. Si actuaste de buena fe y dentro de estas reglas, no vamos a iniciar acciones legales por tu investigación. Reconocemos públicamente (con tu permiso) a quienes reportan fallas válidas; por ahora no ofrecemos recompensas económicas.

5. Fuera de alcance

Reportes automatizados sin prueba de impacto, versiones de software sin vulnerabilidad demostrable, ausencia de cabeceras que no expongan nada concreto, y fallas en servicios de terceros que no controlamos (proveedores de verificación de identidad, redes de blockchain, Cloudflare). Vantik Markets está en proceso de regulación; esta política no reemplaza los Términos ni la Advertencia de Riesgo.

6. Programa privado de recompensas

Además de la divulgación responsable abierta, mantenemos un programa privado por invitación para investigadores con antecedentes verificables. La invitación llega por el mismo canal de reporte, a criterio de nuestro equipo, y define alcance, reglas y montos por escrito antes de empezar. Mientras no tengas una invitación, aplica esta política: reconocimiento público si lo querés, sin recompensa económica.

• Recompensas escalonadas por severidad real demostrada (impacto en fondos, datos o autenticación), definidas en la invitación; nada de pagos por hallazgos fuera de alcance o duplicados.
• Las mismas reglas del juego de la sección 3: cuentas propias, sin denegación de servicio, sin datos de otros usuarios, divulgación coordinada.
• Un hallazgo crítico reportado de buena fe nunca se responde con acciones legales; sí pedimos discreción hasta que la corrección esté desplegada.