Saltar al contenido principal

Política de seguridad

Contacto: https://github.com/Cap-go/capgo.app/security/advisories/new
Canonical: https://capgo.app/security/
Security.txt: https://capgo.app/.well-known/security.txt (/security.txt)

En Capgo, la seguridad de nuestros sistemas es nuestra máxima prioridad. Sin embargo, por mucho esfuerzo que dediquemos a la seguridad, siempre pueden existir vulnerabilidades.

Si descubres una vulnerabilidad, nos gustaría saberlo para solucionarla lo antes posible. Te pedimos que nos ayudes a proteger mejor a nuestros clientes y nuestros sistemas.

Vulnerabilidades fuera de alcance:

  • Clickjacking en páginas sin acciones sensibles.
  • CSRF en login, logout o sin autenticación.
  • Ataques que requieran MITM o acceso físico al dispositivo del usuario.
  • Ataques que requieran ingeniería social.
  • Cualquier actividad que pueda causar la interrupción de nuestro servicio (DoS).
  • Problemas de spoofing de contenido e inyección de texto sin mostrar un vector de ataque o sin poder modificar HTML/CSS.
  • Suplantación de identidad por email
  • Ausencia de cabeceras DNSSEC, CAA o CSP
  • Falta de flags Secure o HTTP only en cookies no sensibles
  • Enlaces rotos
  • Enumeración de usuarios
  • Reportes de SSRF o DNS spoofing contra webhooks o la vista previa del sitio. Estas funciones corren en infraestructura serverless y no pueden usarse para acceder a la infraestructura privada de Capgo, por lo que no son explotables en nuestro entorno.
  • Configuración de proyectos o code de la aplicación propiedad del usuario que Capgo no posee, distribuye ni controla, incluyendo archivos como capacitor.config.ts, config.capacitor.ts, el código fuente code y ajustes específicos de entorno.
  • Acceso a archivos de bundle de Capgo o prueba de que los archivos de bundle pueden descargarse. Los archivos de bundle son assets web públicos, los usuarios están informados de ello y su acceso no se considera una brecha de datos.
  • Los endpoints de API o plugins de Capgo sin autenticación que son públicos por diseño —incluyendo channel_self set y endpoints de update/stats que no requieren una clave API— no son vulnerabilidades. No los reportes como tales.
  • Que el uploader o la UI etiqueten incorrectamente el cifrado para bundles servidos vía external_url no es una vulnerabilidad de Capgo (el cifrado de bundles alojados externamente está fuera del control de Capgo).

Limitaciones conocidas de Supabase Auth

Algunos hallazgos se reportan repetidamente y están ligados al comportamiento de Supabase Auth. Solo se tratarán como problemas de Supabase cuando puedan reproducirse en un proyecto demo de Supabase configurado como el nuestro y cuando un cambio en la configuración de Supabase corrija el comportamiento sin alterar las reglas de seguridad de Capgo. Si la solución requiere cambiar SQL, RPCs, políticas RLS, funciones o la lógica de la app propiedad de Capgo, se trata de un problema de Capgo y debe reportarse a nosotros.

  • Los reportes deben incluir un proyecto de Supabase reproducible, con los pasos necesarios, que coincida con nuestra configuración y demuestre el comportamiento.
  • Los reportes deben incluir la ruta exacta de la solución: ya sea el cambio en la configuración de Supabase que resuelve el comportamiento, o el objeto code/config propiedad de Capgo que deba modificarse.
  • Los flujos de cuenta/email se validan según la configuración del proyecto de Supabase (por ejemplo, si la verificación de email está desactivada y se usa un flujo de captura).
  • Los flujos de actualización de contraseña y email/password pueden depender de la sesión actual de Supabase Auth y de los ajustes de re-verificación.
  • Si un proyecto demo demuestra una solución concreta en el lado de Supabase sin cambios en las políticas de Capgo, o muestra un defecto concreto propiedad de Capgo, lo revisaremos como un caso accionable.

Guías de testing:

  • No ejecutes scanners automatizados en proyectos de otros clientes. Ejecutar scanners automatizados puede aumentar los costes de nuestros usuarios. Los scanners con configuración agresiva podrían interrumpir servicios involuntariamente, explotar vulnerabilidades, provocar inestabilidad del sistema o brechas de seguridad y violar los Términos de Servicio de nuestros proveedores upstream. Nuestros sistemas de seguridad no podrán distinguir el reconocimiento malicioso de la investigación de white hat. Si deseas ejecutar un scanner automatizado, notifícanos en security@capgo.app y ejecútalo únicamente en tu propio proyecto Capgo. NO ataques proyectos de otros clientes.
  • No te aproveches de la vulnerabilidad o del problema que hayas descubierto; por ejemplo, no descargues más datos de los necesarios para demostrar la vulnerabilidad ni elimines o modifiques datos de otras personas.

Pautas para reportar:

  • Envía tus hallazgos a través de nuestro Security Advisory de GitHub: https://github.com/Cap-go/capgo.app/security/advisories/new
  • Proporciona información suficiente para reproducir el problema y así podremos resolverlo lo antes posible.
  • Aceptamos y revisamos reportes de seguridad para plugins de Capgo, pero los bounties pagados por code de plugins están limitados a @capgo/capacitor-updater.. Otros plugins de Capgo son gratuitos y no forman parte de nuestra oferta de productos de pago, por lo que sus reportes se revisan pero no se remuneran.

Pautas de divulgación:

  • Para proteger a nuestros clientes, no reveles el problema a terceros hasta que hayamos investigado, solucionado e informado a nuestros clientes afectados.
  • Si quieres compartir públicamente tu investigación sobre Capgo en una conferencia, un blog o cualquier otro foro público, debes enviarnos un borrador para su revisión y aprobación al menos 30 días antes de la fecha de publicación. Ten en cuenta que no se debe incluir lo siguiente:
    • Datos relativos a proyectos de clientes de Capgo
    • Datos de clientes de Capgo
    • Información sobre empleados, contratistas o socios de Capgo

Nuestro compromiso:

  • Responderemos a tu reporte en un plazo de 7 días hábiles con nuestra evaluación y una fecha estimada de resolución.
  • Si has seguido las instrucciones anteriores, no tomaremos ninguna acción legal contra ti en relación con el reporte.
  • Trataremos tu reporte con estricta confidencialidad y no compartiremos tus datos personales con terceros sin tu permiso.
  • Te mantendremos informado sobre el progreso hacia la resolución del problema.
  • En la información pública sobre el problema reportado, te daremos crédito como el descubridor del mismo (a menos que prefieras lo contrario).
  • Si aparecen datos filtrados en los logs que compartas con nosotros, los trataremos como información de debugging para solucionar el problema, nunca como motivo de represalias.

Nos esforzamos por resolver todos los problemas lo más rápido posible y nos gustaría participar activamente en la publicación final sobre el problema una vez resuelto.