Divulgación responsable · Última actualización: 15 de septiembre de 2026
Política de Divulgación Responsable
La seguridad de nuestros usuarios es nuestra máxima prioridad. Primera Riverada los 4 Ases valora el trabajo de los investigadores de seguridad y profesionales que nos ayudan a identificar vulnerabilidades de forma responsable.
Si descubres un fallo de seguridad en nuestra plataforma, te pedimos que nos lo comuniques de forma privada antes de divulgarlo públicamente. Esta política define cómo hacerlo y qué puedes esperar de nosotros.
Antes de probar
1. Alcance
Esta política cubre, de forma general, los servicios que operamos:
Dentro del alcance
- Sitio web principal y PWA
- Servicio de juego en tiempo real
- Autenticación y gestión de cuentas
- Billetera digital y transacciones
Fuera de alcance
- Ataques de denegación de servicio (DoS/DDoS)
- Ingeniería social contra empleados
- Vulnerabilidades en infraestructura de terceros que no operamos
- Reportes generados con escáneres automáticos sin verificación manual
No pruebes contra cuentas reales ni operaciones con dinero real. Usa únicamente cuentas, datos y escenarios propios, sin acceder a información de terceros.
Escríbenos
2. Cómo Reportar una Vulnerabilidad
Envía un correo a
seguridad@Por favor, no divulgues la vulnerabilidad públicamente hasta que la hayamos corregido o acordemos una fecha de divulgación coordinada.
Incluye en tu correo
- Descripción clara del fallo y su impacto potencial
- Pasos detallados para reproducirlo (Proof of Concept)
- URL o endpoint afectado, sin incluir secretos ni tokens
- Capturas de pantalla o vídeo si aplica
- Tu nombre o alias (para agradecimientos, si lo deseas)
Actualmente recibimos reportes por correo y mediante esta política pública. El campo de cifrado (Encryption) de security.txt aún no está habilitado porque no hemos publicado una clave PGP pública. Esta mejora puede incorporarse más adelante si necesitamos recibir reportes cifrados de vulnerabilidades especialmente sensibles.
Qué esperar de nosotros
3. Objetivos de respuesta
Estos son nuestros objetivos de respuesta; pueden variar según la severidad y complejidad del caso:
48 horas
Confirmación de recepción de tu reporte
7 días
Evaluación inicial: confirmación o descarte de la vulnerabilidad
30 días
Objetivo de mitigación inicial o actualización comunicada
Acordado
Divulgación pública coordinada contigo
Protección para investigadores de buena fe. Cuando una investigación cumpla esta política y se realice de buena fe, no iniciaremos acciones legales por el acto de reportar la vulnerabilidad. Esta protección no cubre fraude, acceso a datos ajenos, extorsión, interrupción del servicio ni incumplimientos legales.
Mientras investigas
4. Reglas de Investigación
Para ser elegible a nuestro reconocimiento, los investigadores deben:
- No acceder, modificar ni borrar datos de usuarios reales
- No probar contra cuentas reales ni realizar operaciones con dinero real
- No interrumpir el servicio ni degradar la experiencia de otros usuarios
- No explotar la vulnerabilidad más allá de lo necesario para demostrarla
- No realizar ingeniería social contra nuestro equipo
- Reportar el hallazgo a nosotros antes que a terceros
Gracias
5. Agradecimientos
Agradecemos a todos los investigadores que han contribuido a mejorar la seguridad de nuestra plataforma de forma responsable. Si reportas una vulnerabilidad válida y deseas ser reconocido, tu nombre o alias aparecerá aquí con tu permiso.
Sé el primero en contribuir responsablemente a la seguridad de Primera Riverada los 4 Ases.
Esta política sigue el estándar RFC 9116 (security.txt)/.well-known/security.txt