- Inicio
- Desarrolladores
- Seguridad
Notifica una vulnerabilidad con confianza.
¿Crees que has encontrado una vulnerabilidad en sutempo, su API o sus paquetes npm? Escríbenos antes de hacerla pública: la corregiremos y después podremos publicarla conjuntamente, si lo deseas.
Un correo con los pasos para reproducirla.
Un informe claro nos permite reproducir el problema rápidamente. No hace falta desarrollar una explotación avanzada: describe lo que has observado.
En francés o inglés; también aceptamos español y portugués.
Lo que te pedimos y lo que hacemos.
- Realiza las pruebas en tu propio entorno de pruebas: gratuito, aislado y con un negocio ficticio.
- No accedas a los datos de un negocio real ni de un cliente; detente en cuanto obtengas la prueba.
- No realices ataques de denegación de servicio, pruebas de carga ni ingeniería social.
- Danos tiempo para corregir el problema antes de publicarlo.
- No emprenderemos acciones legales por una investigación de buena fe que respete estas reglas.
- Seguimiento por correo hasta la corrección.
- Una mención en el historial de cambios una vez corregido, si lo deseas.
Qué está incluido.
Dentro del alcance
sutempo.com: sitio, /account, /admin y /console- La API
/v1descrita en/openapi.json - Las páginas de negocios y el widget
- El servidor MCP y los paquetes
@sutempo/sdk,@sutempo/booking-flow,@sutempo/mcp - Los webhooks enviados por sutempo
Fuera del alcance
- Los propios servicios de terceros: Stripe, Google, Vercel y Neon
- Los ataques volumétricos y las pruebas de carga
- Alcanzar una cuota o un límite sin ningún otro impacto
- La ausencia de una cabecera sin un escenario de explotación
- Las cuentas y los datos ajenos obtenidos mediante suplantación de identidad
Lo que el código ya hace.
Solo lo que se puede verificar hoy.
Cada clave pk_… lleva permisos explícitos y solo se aplica a los negocios que tiene asignados. Se almacena mediante hash (scrypt) y solo se muestra una vez.
Un desarrollador solo puede acceder a un negocio real si este tiene Pro y su responsable lo autoriza; la autorización se puede revocar. El entorno de pruebas no envía correos ni realiza pagos reales.
Cuotas por clave, por negocio y globales. Limitación por interfaz: página pública, widget, escrituras públicas y sesiones. Al superarlas: 429 con Retry-After: 60.
HMAC-SHA256 sobre marca temporal.cuerpo, en x-platform-signature: v1=… junto con x-platform-timestamp. Solo se admiten destinos HTTPS y se rechazan las direcciones privadas.
Código de 8 dígitos por correo válido durante 10 minutos, o Google. Los fallos repetidos se bloquean durante un minuto. Cierra la sesión de otros dispositivos con un clic.
Se verifica la firma de los webhooks entrantes de Stripe; una firma no válida se rechaza con un 400. El dinero llega a la cuenta de Stripe del negocio.
Se rechazan las llamadas del navegador desde orígenes no autorizados. Cada negocio Pro declara los sitios donde puede mostrarse su widget.
Aplicación en Vercel, región de Fráncfort; base PostgreSQL en Neon, región eu-central-1. Las fotos de las fichas de clientes son privadas.
El archivo, en su sitio.
Se sirve como texto sin formato en /.well-known/security.txt, conforme a la RFC 9116.
Contact: mailto:contact@sutempo.com Expires: 2027-03-29T00:00:00.000Z Preferred-Languages: fr, en, es, pt Canonical: https://sutempo.com/.well-known/security.txt Policy: https://sutempo.com/developpeurs/securite Acknowledgments: https://sutempo.com/developpeurs/changelog