Saltar al contenido

Qué protegemos, cómo, y qué falta todavía.

Poner un gateway delante de tu tráfico de IA es una verdadera decisión de confianza, y la toma alguien a quien le dieron un cuestionario y un plazo. Esta página está escrita para esa persona. Cada control de abajo nombra el mecanismo que lo hace cumplir, cada fecha es un compromiso y no una aspiración, y lo que no tenemos aparece tan claramente como lo que sí.

Las cuentas de INFRO son de autoservicio. El catálogo, la documentación y el contrato de la API son públicos, el gateway está desplegado, y todo lo que va más allá de v1 está marcado como Más adelante. Planes y prueba

Son compromisos sobre nuestro propio calendario, no afirmaciones sobre la conclusión de un auditor. Nada de esto dice que INFRO esté certificado, porque no lo está; y donde una fecha aún no está acordada con la firma de auditoría, esta página lo dice en lugar de estimar una.

Todavía no hay fechas comprometidas. Hay una firma de auditoría contratada para SOC 2. La ventana de observación no está programada, así que aquí no hay nada que publicar, y preferimos decirlo antes que nombrar un trimestre que no hemos acordado con la firma. Cuando esté programada, las fechas aparecerán aquí, en lugar de enviarse a revisores individuales, para que todos nos exijan el mismo compromiso. Si tu calendario depende de ello, dínoslo y te diremos en qué punto está realmente la programación: sales@infro.io.

SOC 2 Type I

Auditor contratado

La opinión de un auditor de que los controles descritos en esta página están diseñados de forma adecuada y estaban implantados en una fecha concreta. No dice nada sobre si funcionaron a lo largo del tiempo: eso es Type II.

Comienza la observación
Aún no publicado
Informe previsto
Aún no publicado

Al completarse, esta página nombra la firma de auditoría, la fecha del informe y los criterios de servicios de confianza incluidos, y el informe en sí se entrega bajo NDA. Hasta que el informe exista, aquí no se afirma ni la firma ni el alcance.

SOC 2 Type II

Auditor contratado

La opinión de un auditor de que esos controles funcionaron de forma eficaz a lo largo de una ventana de observación, que es el informe que realmente quieren la mayoría de las revisiones de seguridad.

Comienza la ventana de observación
Aún no publicado
Termina la ventana de observación
Aún no publicado
Informe previsto
Aún no publicado

Una ventana de Type II no se puede comprimir: el informe es tan largo como el período que observó. Si la ventana se mueve, la fecha de aquí se mueve con ella y el cambio se declara en lugar de corregirse en silencio.

ISO 27001

En evaluación

Certificación de un sistema de gestión de seguridad de la información y no de un conjunto de controles. Los revisores fuera de EE. UU. la piden con más frecuencia que SOC 2.

En evaluación. No hay auditor contratado ni fecha comprometida, así que no hay fecha en esta página, y no la habrá hasta que haya algo a lo que comprometerse. Si ISO es un requisito imprescindible para ti, dilo en tu primer correo; es una señal útil y puede cambiar el orden en que lo hacemos.

Hoy no tenemos ninguna certificación, y nada de lo anterior dice lo contrario. Cuando exista un informe, esta página nombrará la firma de auditoría, la fecha del informe y los criterios incluidos, y el informe se entrega bajo NDA. Hasta entonces, lo que podemos ofrecer es el conjunto de controles de abajo, el conjunto de respuestas y una respuesta directa sobre en qué punto está realmente la auditoría; y si tu proceso necesita un informe en mano antes de la firma, lo correcto es esperar y no negociar.

Cada uno de estos está implementado hoy, y cada uno nombra el mecanismo en lugar de la intención: un trigger de base de datos, un vínculo, un encabezado desplegado. Cuando un control es una política y no un mecanismo, lo dice.

Credenciales y claves

Las credenciales de proveedor están selladas y vinculadas a un solo tenant
Las claves de proveedor que conectas se cifran con AES-256-GCM bajo una clave guardada como secreto del Worker, nunca en la base de datos. Los identificadores de la organización y de la conexión se vinculan como datos autenticados adicionales, de modo que una credencial sellada copiada a la fila de otro tenant, o a otra fila del mismo tenant, falla en cerrado en lugar de descifrarse. Las credenciales conectadas para la conciliación de costos se sellan por separado, bajo su propia vinculación.Vinculado como conn:<organization>:<connection> para las credenciales de inferencia y billing:<organization>:<provider kind> para las credenciales de la API de costos. Una filtración de la base de datos por sí sola no abre nada.
No hay revelar, en ninguna parte
Una vez guardada una credencial de proveedor, ninguna interfaz la devuelve: ni la consola, ni la API, ni la consola interna de operadores. Lo que cualquiera de las partes puede ver son los últimos cuatro caracteres y las marcas de tiempo. Si pierdes la clave, la rotas en el proveedor; no podemos mostrártela.Las consultas de conexiones de la consola de operadores no seleccionan en absoluto la columna sellada. Un botón de revelar es la función que convierte una sesión comprometida en las claves de proveedor de todos los clientes.
Las claves de API de INFRO se guardan con hash en reposo
Una clave de gateway son 32 bytes de una fuente aleatoria criptográfica. Lo que almacenamos es su resumen SHA-256, un prefijo para mostrar y los últimos cuatro caracteres, de modo que una filtración de la base de datos no revele una credencial utilizable. La revocación escribe una marca de baja en lugar de borrar la fila, para que no pueda quedar oculta por una entrada de caché obsoleta que aún se propaga entre ubicaciones.Usar SHA-256 y no un KDF de contraseñas es deliberado: no hay diccionario que atacar con 32 bytes aleatorios, y un KDF añadiría de 50 a 200 ms de cómputo facturado a cada solicitud.
La clave de cifrado se puede rotar sin tu intervención
Rotar la clave que sella las credenciales de los clientes vuelve a sellar en el sitio todas las credenciales almacenadas. No pide a los clientes que vuelvan a introducir nada, y el algoritmo almacenado lleva una cadena de versión para que un esquema futuro pueda convivir con el actual en lugar de requerir un día de corte.Dicho con claridad: perder esa clave sin copia de seguridad es irrecuperable, y todos los clientes tendrían que volver a conectar todos los proveedores. La copia de seguridad y la recuperación están escritas como un procedimiento operativo.

Tu contenido

No entrenamos con tus datos ni los vendemos
INFRO no usa tus prompts, entradas ni salidas para entrenar nada, y no los vende. Los proveedores que conectas tratan tus datos según tus propios acuerdos y ajustes de cuenta con ellos; los controles de registro de INFRO no cambian esos ajustes, y no pueden hacerlo.Este es el único control de esta página que es una política y no un mecanismo. Se declara en los términos y en el DPA, que es donde se puede exigir.
La captura de prompts y respuestas está desactivada por defecto
Los metadatos de la solicitud (modelo, proveedor, ruta, recuentos de tokens, latencia, costo estimado) siempre se registran, porque la medición, los presupuestos y la gobernanza son lo que el producto es. El contenido de prompts y respuestas no se registra, salvo que una organización active la captura. La columna de la base de datos está desactivada por defecto; no hay ningún plan en el que esté activada por defecto.org_settings.prompt_logging_enabled, DEFAULT false NOT NULL desde la primera migración.
La ventana de retención es tuya, y el barrido de eliminación es real
Cuando la captura está activada, tú eliges la ventana (24 horas, 14, 30, 60 o 90 días, o un año), y lo que se almacena es el más corto entre tu elección y el techo de tu plan, de modo que una superficie nunca pueda ofrecer una ventana que el plan vaya a ignorar en silencio. Un trabajo programado elimina las cargas útiles capturadas una vez pasada su caducidad, en lotes acotados para que un atraso no se convierta en una transacción larga contra una tabla en la que escribe la ruta de la solicitud.Cada fila de carga útil lleva su propio expires_at; la purga se ejecuta en el cron de un minuto de la plataforma y su retraso es una de las condiciones que dispara una alerta al operador. La eliminación es un DELETE, no una marca.
La exportación de trazas es una lista de permitidos, no una copia
Si envías spans de OpenTelemetry a tu propio colector, el conjunto de atributos se construye campo por campo y no expandiendo una fila de la base de datos, de modo que una columna interna añadida después no pueda filtrarse por defecto a tu backend de observabilidad. El endpoint del colector debe ser HTTPS, impuesto por una restricción de la base de datos, y los encabezados que configuras se sellan como cualquier otra credencial.Este es el único lugar donde INFRO envía deliberadamente tus datos a un host de terceros que tú elegiste, y el único donde una filtración sería duradera. Una prueba comprueba que los identificadores internos no están presentes en los bytes codificados.

Acceso y responsabilidad

El registro de auditoría no se puede reescribir
Cada cambio de política, actualización de credenciales, rotación de claves, concesión de plan y cambio de membresía es una fila nueva con un actor y una marca de tiempo. Esas filas rechazan UPDATE, DELETE y TRUNCATE a nivel de la base de datos: no por convención, ni por código de aplicación que un script de soporte podría eludir. El historial de tu organización es un registro y no un valor.Lo impone un trigger de la base de datos. Ni un ingeniero de INFRO en un prompt de psql ni una aplicación comprometida pueden modificarlo en silencio.
La identidad de clientes y la de operadores no comparten nada
La consola de clientes y la consola interna de operadores se autentican en dos sistemas distintos: tablas separadas, nombres de cookie separados, secretos de firma separados, listas de orígenes permitidos separadas. Una sesión de cliente presentada a un endpoint de operadores es anónima allí, no simplemente de menor privilegio: lleva un nombre que ese sistema no busca, firmado con una clave que no tiene, contra una tabla que no lee.El Worker se niega a arrancar si los dos secretos de firma son iguales o si las dos listas de orígenes se solapan. El registro de operadores está desactivado de forma permanente; las cuentas se aprovisionan, y la fila de un operador suspendido se conserva precisamente para que una comprobación de existencia no pueda dejarlo volver a entrar.
Autenticación en dos pasos de operadores y un paso reforzado en las acciones destructivas
La autenticación en dos pasos TOTP está disponible para todos los operadores y desactivada por defecto: una decisión deliberada, declarada aquí en lugar de sugerida. Con ella activada, toda sesión de operador debe presentar un código y una contraseña nunca lo sustituye. Independientemente de ese ajuste, las acciones que cambian dinero, credenciales o el acceso de otro operador requieren un segundo factor presentado en los últimos 15 minutos; donde la autenticación en dos pasos está desactivada, ese paso reforzado es la contraseña. Diez fallos consecutivos bloquean la cuenta durante quince minutos.La prueba es una fila de factor por sesión escrita solo por el hook de verificación, de modo que una sesión creada en otro navegador no abre nada. Los códigos son de un solo uso; los códigos de respaldo son de un solo uso y se almacenan cifrados.
Autenticación en dos pasos, passkeys y sesiones para tus propios usuarios
Todas las cuentas pueden activar la autenticación en dos pasos con una app de autenticación y diez códigos de recuperación de un solo uso, y registrar passkeys o llaves de seguridad de hardware, que inician sesión por sí solas o sirven de segundo paso tras una contraseña. Un propietario o administrador puede exigir la autenticación en dos pasos a toda la organización: un miembro que no la tenga no accede a nada de esa organización hasta que la configure. El inicio de sesión único cumple el requisito, porque tu proveedor de identidad impone su propio MFA. Todas las cuentas pueden ver dónde han iniciado sesión y cerrar cualquier sesión.Los códigos son de un solo uso y diez fallos bloquean la cuenta durante quince minutos; no existe recordar este dispositivo. Quitar un factor requiere un segundo factor presentado en los últimos diez minutos, no solo la contraseña. Una passkey inicia sesión por sí sola solo si el dispositivo verificó al usuario. No se ofrecen códigos por correo ni por SMS.
Tu organización nunca se lee de la solicitud
Los endpoints de la consola y de operadores toman la organización de la sesión autenticada y la pasan como argumento explícito, de modo que un punto de llamada no puede dejarla sin indicar y un parámetro del cuerpo o de la consulta que nombre una organización no puede convertirse en una decisión de autorización tomada a partir de datos controlados por un atacante.Una prueba estructural pasa filas reales por las proyecciones de respuesta reales con un valor centinela, y comprueba que los identificadores internos y los cuerpos de error del upstream nunca llegan a una respuesta al cliente.

La superficie de la plataforma

Encabezados de seguridad en las tres superficies
infro.io, la consola de clientes y la consola de operadores envían cada una Content-Security-Policy, HSTS, X-Content-Type-Options: nosniff, X-Frame-Options: DENY, Referrer-Policy, Permissions-Policy y Cross-Origin-Opener-Policy. La consola de operadores añade una política de recursos y una directiva de no indexación, y su página de inicio de sesión lleva una política con nonce por respuesta que no permite ningún script en línea.Verificable desde fuera con curl -I contra cualquiera de los tres nombres de host. Un script versionado recorre cada ruta con la política aplicada y falla ante cualquier infracción, de modo que no se pueda añadir un origen de terceros en silencio.
Los webhooks salientes están firmados y rotan sin interrupción
Cada webhook que enviamos lleva una firma HMAC-SHA256 sobre la marca de tiempo y el cuerpo sin procesar exacto, para que puedas verificar tanto la autenticidad como que la carga no se alteró en tránsito. Durante una rotación de secreto, cada entrega se firma con el secreto antiguo y con el nuevo, para que puedas adoptar el nuevo sin perder ninguna entrega.Formato del encabezado INFRO-Signature: t=<unix>,v1=<hex>, documentado con código de verificación. La firma y la marca de tiempo son la razón por la que un webhook se trata como una notificación que hay que confirmar, nunca como una autoridad sobre la que actuar.
Una única superficie de errores documentada
Cada rechazo que hace el gateway es de un conjunto publicado de tipos y códigos, incluidos los que son culpa nuestra. Las solicitudes tienen un límite de tamaño antes de cualquier análisis, con un 413 documentado en lugar de un tiempo de espera agotado, y las superficies de autenticación, inicio de sesión y captación de contactos tienen límite de tasa según la dirección de red de quien llama.Se publica completo en /docs/api/errors antes de que escribas una línea de código contra él. Los encabezados de límite de tasa indican cuáles son exactos y cuáles son un máximo.
Una lista de subencargados con nombre, con aviso previo
Los proveedores con los que trabaja INFRO figuran en /subprocessors, con lo que cada uno puede ver realmente y dónde se ejecuta, y con un aviso de 30 días antes de que uno nuevo empiece a procesar datos. Los proveedores de IA que sirven tus solicitudes son los que tú elegiste y con quienes contratas directamente: no son subencargados de INFRO, y la página explica por qué esa distinción es real y no cómoda.Hoy hay dos proveedores de infraestructura con nombre. La base de datos se ejecuta en Fráncfort y el gateway se ejecuta a su lado; las solicitudes entran en la red de Cloudflare donde esté quien llama, y la página lo dice en lugar de dar a entender una región.

Esta lista existe porque el resto de la página vale menos sin ella. Si alguno de estos puntos bloquea una compra, es una conversación que preferimos tener en tu primer correo y no en la cuarta semana de una evaluación.

Hoy no hay SOC 2 ni ISO 27001
Ninguna se tiene. Una auditoría necesita un historial operativo que examinar y el nuestro es corto. La hoja de ruta de arriba es a lo que nos hemos comprometido en su lugar; si tu proceso no puede avanzar sin un informe en mano, es un motivo para esperar y no para negociar.
Sin prueba de penetración independiente
Nada de esta página ha sido revisado por nadie ajeno al equipo que la escribió. Mantenemos una revisión de seguridad interna permanente organizada por activo, y es una autoevaluación, que es la diferencia entre haber pensado algo y haber hecho que alguien lo intente.
Sin procesamiento exclusivo de la UE ni regional
Las solicitudes entran en la red de Cloudflare en la ubicación más cercana a quien llama, donde termina el TLS, y el gateway en sí se ejecuta en Fráncfort, junto a la base de datos. Esa ubicación acorta los viajes de ida y vuelta a la base de datos; no es un control de residencia de datos, y el procesamiento restringido por región requiere derechos de infraestructura que no hemos comprado. Un nombre de host de apariencia europea que en realidad no restringe el procesamiento es una afirmación que podrías falsificar con una sola solicitud, así que no ofrecemos ninguno.
El servicio alojado es multi-tenant
En todos los planes de autoservicio, las organizaciones comparten el servicio alojado y el aislamiento entre ellas es lógico y no físico. Si tu requisito es que nuestro software se ejecute en tu propia infraestructura, eso es un despliegue autoalojado o híbrido con un acuerdo enterprise, delimitado y acordado por contrato; ningún plan de autoservicio lo incluye.
Sin SLA de disponibilidad publicado en los planes de autoservicio
Un servicio sin historial operativo no puede publicar con honestidad un compromiso de disponibilidad, así que no publicamos ninguno. Un acuerdo enterprise puede incluir un SLA contractual con compensaciones, acordado por contrato. El estado del gateway se puede comprobar desde tu propio navegador en /status.
SSO y SCIM son nuevos
El inicio de sesión único SAML y OIDC y el aprovisionamiento SCIM 2.0 están implementados e incluidos desde el plan Business, condicionados a un dominio verificado por DNS. Todavía no se han ejecutado en producción con todos los proveedores de identidad, así que configuramos la primera conexión con cada cliente en lugar de llamarlo autoservicio.
Los guardrails se basan en patrones; no hay guardrails con clasificador
Los guardrails para chat completions, incluidos desde el plan Business, revisan prompts y respuestas con patrones fijos (direcciones de correo, números de teléfono, números de tarjeta, IBAN, números de la Seguridad Social de EE. UU., direcciones IP, claves de API y términos que indiques) y bloquean, redactan o marcan lo que coincide. La coincidencia de patrones no detecta nada fuera de esos formatos. Nada detecta inyección de prompts, jailbreaks, toxicidad ni solicitudes fuera de tema, y no se inspeccionan imágenes, audio ni endpoints distintos de chat completions. Si tu revisión necesita un clasificador de contenido en la ruta de la solicitud, INFRO no lo ofrece.
Sin tope de costo por solicitud
Los presupuestos limitan el total al que puede llegar tu organización, un proyecto, un miembro o una clave, y los límites de tasa limitan el volumen de solicitudes. Lo que todavía no existe es un control que rechace una sola solicitud inusualmente cara. Un prompt grande legítimo y uno abusivo se ven igual para el gateway, y un cliente esperaría con razón ese control.
Los límites de tasa se aplican por ubicación
Los límites los cuenta el servicio de límites de tasa de Cloudflare en la ubicación donde se ejecuta el gateway, no un único contador global. El gateway está ubicado en Fráncfort, así que la mayor parte del tráfico se cuenta allí, pero la ubicación es una preferencia de enrutamiento y no una garantía, y el tráfico atendido en otro lugar se cuenta por separado, de modo que una clave puede superar brevemente su límite nominal. Es un compromiso deliberado (la alternativa del contador global limita al mayor cliente por nuestra arquitectura y no por su límite), y la documentación de la API indica qué encabezados de límite de tasa son exactos y cuáles son un máximo.

Listamos lo que no está implementado con la misma claridad que lo que sí. Si una fila de aquí bloquea una compra, preferimos tener esa conversación ahora y no después de un contrato.

Sin entrenamiento con tus datosComprometido
INFRO no entrena con tus prompts, entradas ni salidas, ni los vende. El uso de datos por parte de los proveedores de IA que conectas se rige por tus acuerdos y ajustes con ellos.
Registro de contenido desactivado por defectoComprometido
Los metadatos de uso sirven para la medición de la plataforma, las estimaciones de costo y la gobernanza. Los registros opcionales de prompts y respuestas están desactivados por defecto, se guardan por separado y están limitados por la retención de tu plan.
Claves con hash en reposoComprometido
Las claves de API se almacenan como resúmenes SHA-256 de 32 bytes de un CSPRNG. Una filtración de la base de datos no revela una credencial utilizable, y la revocación escribe una marca de baja para que no pueda quedar oculta por una entrada de caché obsoleta.
Registro de auditoría de solo anexiónComprometido
Las filas de auditoría no se pueden actualizar ni eliminar: la propia base de datos lo rechaza. Cada cambio de política, actualización de credenciales, rotación de claves y cambio de membresía es una fila nueva con un actor, de modo que el historial de tu organización no se puede reescribir en silencio.
Lista de subencargados publicadaComprometido
Los proveedores de infraestructura figuran en /subprocessors, con un aviso de 30 días antes de que uno nuevo empiece a procesar datos, sujeto a la excepción de emergencia que se describe allí. Tú eliges y contratas directamente a los proveedores de IA que conectas.
SOC 2 / ISO 27001Todavía no
No se tiene y no se afirma. Una certificación necesita un historial operativo que auditar y el del gateway es corto. Lo que se publica en su lugar es la hoja de ruta en /trust: hay una firma de auditoría contratada para SOC 2 sin ventana de observación programada todavía, ISO 27001 está en evaluación sin auditor ni fecha, y ninguna se describe como algo más que eso. Las fechas aparecen allí cuando la firma las acuerda, no antes.
DPA con cláusulas contractuales tipoComprometido
Publicado completo en /dpa, con las SCC y el Anexo del Reino Unido incorporados. La firma se hace por correo y no desde la consola — no hay un flujo de contrafirma, y la página lo dice en lugar de insinuar un botón.
Residencia de datos en la UETodavía no
Requiere derechos de infraestructura que no hemos contratado. Un hostname que solo parece europeo es una afirmación que un cliente puede desmentir con una sola solicitud, así que no ofreceremos uno hasta que el procesamiento esté realmente restringido.

Nuestras respuestas a las preguntas que de verdad hace una revisión de seguridad (manejo de datos, cifrado, gestión de claves, control de acceso, monitoreo, cumplimiento), publicadas como un documento de texto plano que puedes leer, comparar y pegar en tus propias herramientas.

Descargar el conjunto de respuestasLéelo en el navegador

Es Markdown y no una hoja de cálculo CAIQ a propósito. El valor del CAIQ es su numeración de preguntas, y uno completado a medias implica pertenecer a un registro en el que no estamos; así que esto cubre el mismo terreno en el orden en que lo lee un revisor, en un formato que tus herramientas y las nuestras pueden comparar. Se genera a partir de los mismos datos que esta página, así que ambos no pueden contradecirse.

Envía también tu propio cuestionario, en el formato que sea. Respondemos cada pregunta, incluidas aquellas cuya respuesta es no, y decimos cuáles de ellas tienen una fecha asignada. Escribe a sales@infro.io.

Léelos antes de preguntarnos por ellos. Ninguno requiere una llamada, un NDA ni una conversación de ventas para verlo.

Acuerdo de tratamiento de datos
El texto completo, que incorpora las Cláusulas Contractuales Tipo con el Anexo del Reino Unido, incluida la obligación de notificación de brechas y el calendario de retención. La firma se hace por correo: no hay flujo de contrafirma en la consola, y la página lo dice en lugar de insinuar un botón.
Subencargados del tratamiento
Cada proveedor de servicios que contrata INFRO, lo que cada uno puede ver realmente, dónde se ejecuta y un aviso de 30 días antes de que uno nuevo empiece a tratar datos. También explica por qué los proveedores de IA que conectas no son subencargados de INFRO.
Política de privacidad
Qué se recopila, las bases legales, cuánto tiempo se conserva cada categoría y los derechos de un titular de datos. Alineado con las ventanas de retención de esta página, no en contradicción con ellas.
Política de uso aceptable
Qué no se puede construir en la plataforma, incluidas las categorías sin vía de aprobación, y qué pasa cuando nos enteramos. Escrito con el vocabulario de las redes de tarjetas, porque son ellas quienes preguntan.
Política de divulgación de vulnerabilidades
Qué está dentro del alcance, cómo probar sin perjudicar a otro cliente, a qué nos comprometemos cuando reportas y el puerto seguro para la investigación de buena fe. También publicado como /.well-known/security.txt.
Términos del servicio
El acuerdo comercial, la entidad operadora y su jurisdicción, y qué pasa con una cuenta al final.
La taxonomía de errores
Cada rechazo que puede hacer el gateway, publicado antes de que escribas una línea de código contra él, incluidos los que son culpa nuestra y no tuya.
Manejo de datos, en la referencia de la API
Campo por campo: qué se registra en cada solicitud, qué agrega la captura cuando una organización la activa y cómo se aplica la ventana de retención. La versión para ingenieros del control de retención descrito arriba.
Claves y autenticación
Cómo se emiten las claves del gateway, cómo se limitan a un proyecto y un entorno, cómo se restringen por rol y cómo se revocan; escrito para la persona que tiene que decidir quién en tu organización recibe una.
Seguridad de claves de API de IA
Dónde viven las claves de proveedor con y sin gateway, las cuatro comprobaciones que pasa cada clave del gateway antes de llamar a un proveedor y qué hacer en la primera hora después de que se filtra una clave.

¿Encontraste algo?

Envíalo a security@infro.io. Ese buzón lo leen las personas que pueden corregirlo, y es para reportes de vulnerabilidades, no para soporte.

Alcance, reglas de prueba y el puerto seguro completo: la política de divulgación de vulnerabilidades.

  • Acusamos recibo en un día hábil y te mantenemos al tanto mientras investigamos, incluso cuando la respuesta es que ya lo sabíamos.
  • La investigación de buena fe es segura aquí. No emprenderemos acciones legales por pruebas que eviten violaciones de privacidad, degradación del servicio y destrucción o exfiltración de datos que no son tuyos.
  • No hay programa de bug bounty ni pago. Lo decimos desde el principio, porque descubrirlo después del trabajo es peor que saberlo antes.
  • Las preguntas comerciales y de compras van a otro lugar: sales@infro.io para una revisión de seguridad o un cuestionario, support@infro.io para una cuenta que ya tienes.