Cómo informar
Envía tu informe a support@rekomi.com. Los informes cifrados son bienvenidos (clave PGP a petición).
- Pasos para reproducirlo.
- Impacto: qué podría hacer un atacante.
- Componente afectado (endpoint de la API, ruta del frontend, webhook, etc.).
- Tu alias, si quieres crédito público.
Qué entra en el alcance
- rekomi.com y api.rekomi.com.
- Aislamiento multi-tenant (acceso a datos entre tenants).
- Gestión de firmas de webhooks de Stripe y de firmas S2S.
- Rutas de autenticación y autorización.
- Gestión y rotación de claves de API.
- Gestión de cookies y de sesiones.
- Inyección de prompts o exfiltración de datos en el copiloto de IA.
Qué queda fuera del alcance
- Servicios de terceros (Stripe, Clerk, Cloudflare, Anthropic): informa directamente a esos proveedores.
- Self-XSS, cabeceras de seguridad ausentes en el sitio de documentación.
- Hallazgos que requieran acceso físico.
- Ingeniería social contra el personal.
Puerto seguro
La investigación de buena fe realizada dentro del alcance no está sujeta a acciones legales ni a la cancelación de la cuenta. No accedas a los datos de otro cliente, no exfiltres datos, no interrumpas el servicio.
Crédito a los investigadores
Damos crédito público a los investigadores (con su consentimiento) en esta página por los informes válidos. Un programa formal de recompensas por errores está en la hoja de ruta.