Seguridad y divulgación responsable

Escríbenos a seguridad@gestionstorage.com en español o en inglés. Para que podamos reproducirlo rápido, incluye:

• Qué encontraste y dónde (la dirección de la página o del servicio).
• Los pasos exactos para reproducirlo.
• Qué podría hacer alguien con esa falla (el impacto).
• Cuándo lo probaste y con qué cuentas de prueba.
• Cómo contactarte, y si quieres que te demos crédito.

Si en tu prueba viste datos de otras personas, no los copies en el reporte: describe qué tipo de dato era.

gestionstorage.com y sus subdominios, el panel de los centros, el portal y la app de los clientes, las apps móviles de Gestión Storage y los sitios de los centros que funcionan sobre nuestra plataforma.

No cubre los servicios de terceros que usamos: si la falla es de ellos, repórtala directamente al tercero. Tampoco cubre las instalaciones físicas de los centros.

• Ver o cambiar información de otro centro o de otro cliente.
• Saltarse el inicio de sesión, los permisos por rol o la verificación de una liga.
• Inyección de código o de consultas, y ejecución de scripts en páginas ajenas (XSS).
• Fallas en cobros, pagos, facturas o contratos.
• Abrir un acceso o una puerta sin autorización.
• Documentos o archivos privados expuestos.
• Llaves, contraseñas o configuraciones internas expuestas.

• Resultados de escáneres automáticos sin una prueba de impacto real.
• Encabezados o configuraciones «recomendadas» que no permiten ningún ataque concreto.
• Clickjacking en páginas sin acciones sensibles.
• Ataques que requieren acceso físico al teléfono o computadora de la víctima.
• Versiones de software sin una forma demostrada de explotarlas.
• Ingeniería social o engaños a nuestro equipo, a los centros o a sus clientes.

• Usa cuentas tuyas o de prueba. No entres a cuentas de otras personas.
• Accede solo a lo mínimo indispensable para demostrar la falla. Si llegas a datos de terceros, detente y repórtalo; no los copies, guardes, cambies ni borres.
• No degrades el servicio: nada de pruebas de carga, denegación de servicio ni escaneos masivos o insistentes.
• No hagas pruebas en las instalaciones de los centros ni sobre sus puertas, accesos o cámaras.
• No envíes correos, mensajes ni llamadas a los centros o a sus clientes.
• No publiques la falla hasta que la hayamos corregido o hasta que pasen 90 días desde tu reporte, lo que ocurra primero; si necesitamos más tiempo, lo acordamos contigo.
• No condiciones el reporte a un pago ni uses la falla en tu beneficio.

• Te confirmamos que recibimos tu reporte en un máximo de 3 días hábiles.
• Te damos una primera evaluación en un máximo de 10 días hábiles.
• Te mantenemos al tanto del avance y te avisamos cuando esté corregido.
• Si así lo quieres, te damos crédito públicamente por el hallazgo.

Por ahora no tenemos un programa de recompensas económicas.

Si investigas de buena fe y respetas esta política, consideramos tu investigación autorizada: no emprenderemos acciones legales ni presentaremos denuncias en tu contra por ella, y si un tercero lo hiciera, haremos saber que actuaste conforme a esta política.

Esto no autoriza actos contrarios a la ley ni a los derechos de terceros. Si tienes dudas sobre si algo está permitido, pregúntanos antes a seguridad@gestionstorage.com.

Si tu reporte involucra datos personales, los tratamos conforme a nuestro Aviso de Privacidad.

Esta misma información está publicada en formato estándar en /.well-known/security.txt.

Gestión Storage está alineado al nivel 1 de OWASP ASVS 5.0 (autoevaluación, 28 de septiembre de 2026).

ASVS (Application Security Verification Standard) es un estándar abierto de la fundación OWASP que enumera lo que una aplicación web debe cumplir en seguridad: cómo se validan los datos, cómo se protegen las contraseñas y las sesiones, quién puede ver qué, cómo se cifra la información y cómo se mantienen al día los componentes. El nivel 1 es la base que toda aplicación que maneja datos de personas debería cumplir: 70 requisitos en la versión 5.0.

Qué es una autoevaluación. La hicimos nosotros: revisamos cada requisito contra el código de la plataforma y contra el servicio en producción, y corregimos lo que no cumplía antes de publicar este resultado. No la otorga un tercero y OWASP no revisa ni avala aplicaciones; por eso la llamamos autoevaluación y no la presentamos de otra forma.

Parcial quiere decir que el control existe, pero dejamos anotada una mejora para cumplirlo por completo. No aplica son requisitos de funciones que la plataforma no tiene (por ejemplo, operar un servidor de inicio de sesión para otras empresas).

Riesgos que aceptamos, y por qué.

• La liga personal del portal del cliente es su llave. Así se diseñó para que el cliente entre sin recordar contraseñas. Cerrar sesión borra la copia del dispositivo, pero la liga sigue sirviendo. Para compensarlo, solo la ven y la mandan las personas del centro que la necesitan, y la página no se la comparte a otros sitios.
• No bloqueamos una cuenta por intentos fallidos desde muchos lugares. Si lo hiciéramos, cualquiera podría dejar fuera a otra persona a propósito. Lo compensan los límites de intentos por conexión, una política que rechaza las contraseñas más usadas y la verificación en dos pasos, que cada usuario del panel puede activar.
• Tres avisos menores en componentes de terceros. De severidad media o baja, en piezas que no se pueden actualizar sin una migración mayor. Ninguno expone datos de clientes: el peor caso es que una liga mal formada congele la pantalla del teléfono de quien la abre. Se revisan cada mes y se cierran en cuanto haya una actualización que no rompa el servicio.

Cómo lo mantenemos. Los componentes con avisos de seguridad se actualizan en un plazo fijo según su gravedad: 72 horas los críticos, 7 días los altos, 30 días los medios y 90 días los bajos. La revisión es automática cada semana.

Si tu equipo necesita el detalle requisito por requisito, escríbenos a seguridad@gestionstorage.com.