Nuestro compromiso
Proteger los fondos y los datos de nuestros clientes es central en lo que hacemos. Recibimos con gusto los reportes de investigadores de seguridad y de clientes que encuentren una vulnerabilidad en nuestros sistemas, y trabajaremos contigo para entenderla y corregirla. Esta política explica qué puedes probar, cómo hacerlo de forma segura y cómo reportar lo que encuentres.
Dentro del alcance
- Los sitios web públicos bajo
*.localpayment.com, incluido localpayment.com. - La API de Localpayment: Producción (api.v3.localpayment.com) y Stage (api.stage.localpayment.com).
- El Business Portal (ui.v3.localpayment.com).
Haz pruebas solo con cuentas y credenciales que tengas autorización para usar. Si eres cliente de Localpayment, haz tus pruebas en tu entorno de Stage y no en Producción. Algunos subdominios de *.localpayment.com los operan proveedores externos; si un reporte corresponde a uno de ellos, lo coordinaremos con el proveedor.
Fuera del alcance
- Ataques de denegación de servicio, pruebas de carga o de estrés y cualquier prueba que degrade el servicio para otras personas.
- Ingeniería social, phishing o intentos físicos contra nuestros empleados, oficinas, clientes o socios.
- Servicios operados por terceros, como bancos, redes de tarjetas, rieles de pago locales o nuestro canal de ética independiente. Reporta esos problemas al proveedor correspondiente.
- Hallazgos sin un impacto de seguridad demostrable, como la sola ausencia de headers de seguridad o de atributos de cookies, banners de versión, clickjacking en páginas sin acciones sensibles, self-XSS, CSRF de cierre de sesión o resultados no validados de escáneres automáticos.
- Reportes de configuración de correo (SPF, DKIM, DMARC) sin un exploit funcional.
Reglas de participación
- Sin denegación de servicio. No ejecutes pruebas que puedan interrumpir o degradar nuestros servicios, y mantén el escaneo automatizado a un ritmo bajo.
- Sin ingeniería social. No te dirijas a personas —empleados, clientes o socios— mediante phishing, suplantación de identidad ni ningún otro medio.
- Sin extracción de datos. Accede solo a los datos mínimos necesarios para demostrar el problema. No descargues, copies, conserves, modifiques ni elimines datos. Si encuentras datos personales, datos de tarjetahabientes o credenciales, detente y repórtalo de inmediato.
- Detente en la prueba de concepto. Una vez confirmada la vulnerabilidad, detente. No escales privilegios, no te muevas lateralmente, no generes persistencia ni encadenes otros ataques sin nuestro acuerdo por escrito.
- Sin transacciones reales. Nunca muevas fondos, crees pagos o payouts reales ni interactúes con cuentas que no sean tuyas.
- Mantén la confidencialidad. No compartas los detalles del problema con nadie hasta que lo hayamos corregido y hayamos acordado contigo su divulgación.
- Actúa de buena fe y dentro de la ley. No condiciones tu reporte a un pago ni a ninguna otra exigencia.
Cómo reportar
Escribe a cybersecurity@localpayment.com con el asunto “Reporte de vulnerabilidad” y un título breve. Leemos reportes en inglés, español y portugués. Incluye:
- El activo afectado: URL, endpoint de la API, parámetro o pantalla del Business Portal.
- El tipo de vulnerabilidad y su impacto potencial.
- Los pasos para reproducirla.
- Una prueba de concepto —solicitudes y respuestas, capturas de pantalla o un video breve— con los datos personales o sensibles ocultos.
- La fecha y la hora de tus pruebas y las direcciones IP que usaste, para que podamos identificar tu actividad en nuestros registros.
- Tu nombre o alias, cómo contactarte y si quieres que te demos crédito.
Nunca incluyas números de tarjeta reales, contraseñas ni datos personales de terceros en tu reporte. En su lugar, descríbelos.
Qué puedes esperar
- Confirmación. Confirmamos la recepción de tu reporte a la brevedad.
- Evaluación. Nuestro equipo de seguridad valida el problema, evalúa su severidad y puede pedirte más detalles.
- Seguimiento. Te mantenemos al tanto de nuestro avance y te avisamos cuando el problema esté resuelto.
- Corrección. Priorizamos las correcciones según el riesgo que representan para nuestros clientes y sus datos.
- Divulgación coordinada. Si planeas publicar tus hallazgos, acordamos contigo el momento una vez implementada la corrección. Con tu permiso, con gusto reconoceremos tu contribución.
Puerto seguro (safe harbor)
Localpayment no emprenderá acciones legales contra los investigadores que descubran y reporten vulnerabilidades de buena fe y conforme a esta política.
Contacto legible por máquina (security.txt)
Nuestros datos de contacto de seguridad también están publicados en formato legible por máquina, según el RFC 9116, en https://localpayment.com/.well-known/security.txt.
Otras consultas
- Sospecha de fraude o un problema con tu cuenta o con una transacción: support@localpayment.com, disponible 24/7.
- Inquietudes éticas o de mala conducta: nuestro canal de ética independiente.