Política de Divulgación de Vulnerabilidades

Reportar una vulnerabilidad

Si descubres una vulnerabilidad de seguridad en headQ, no abras un issue público. Repórtala de forma responsable a security@headq.cl con el asunto [SECURITY] y un resumen breve.

Incluye, en lo posible:

• Descripción del problema y su impacto potencial.
• Pasos para reproducir la vulnerabilidad.
• Versión o commit afectado.
• Cualquier prueba de concepto (PoC) que tengas.

Tiempos de respuesta

Evento	Plazo objetivo
Acuse de recibo	48 horas
Confirmación / descarte	7 días
Lanzamiento de parche (si aplica)	30 días

Alcance

Esta política cubre el código fuente de headQ y los servicios desplegados en headq.cl. Quedan fuera del alcance:

• Ataques de denegación de servicio (DoS/DDoS).
• Ingeniería social dirigida a empleados o clientes.
• Vulnerabilidades en infraestructura de terceros (GitHub, Cloudflare, Stripe, etc.).

Reconocimiento

Agradecemos a quienes divulgan vulnerabilidades de forma responsable. Los reportes válidos serán reconocidos en las notas de la versión correspondiente, si el investigador lo desea.