Seguridad
¿Has encontrado una vulnerabilidad? Cómo contárnoslo, qué te prometemos a cambio y las reglas para probar.
Última actualización: 29 de septiembre de 2026
Qué abarca esta política
Esta web, mintakka.com; los servicios con los que hablan las aplicaciones y la web, bajo mintakka.app —cuentas, el catálogo de rutas, los mapas y la ubicación compartida en directo—, y las aplicaciones de Mintakka™ para móviles Android y relojes Wear OS.
Si has encontrado la forma de leer, cambiar o borrar algo que no es tuyo, de hacerte pasar por otra persona o de hacer que uno de estos servicios haga algo que no debe, queremos saberlo.
Cómo avisar
Escribe a security@mintakka.com, en español o en inglés. Cuéntanos:
- qué está afectado: la dirección, o la aplicación y su versión;
- los pasos para reproducirlo y lo que viste;
- qué podría hacer alguien con ello;
- cómo localizarte si tenemos preguntas.
Un problema por mensaje. No incluyas datos personales de nadie salvo que sean el propio hallazgo, y en ese caso solo lo justo para demostrarlo.
Qué pasa después
Te contestamos en un plazo de cinco días laborables para confirmar que tenemos tu aviso. Después te decimos si hemos podido reproducirlo, te tenemos al tanto mientras lo arreglamos y te escribimos cuando el arreglo esté publicado.
Probar de buena fe
Mientras buscas problemas:
- usa solo cuentas y datos que sean tuyos, o que su dueño te haya dejado usar;
- si llegas a datos de otra persona, para ahí, avísanos y no guardes, copies ni pases a nadie lo que viste;
- no ralentices los servicios ni los tires: nada de pruebas de carga, ni de inundarlos de peticiones, ni de escaneos automáticos tan intensos que los noten los demás;
- no publiques rutas de prueba donde otras personas las vean, y borra las que hayas publicado;
- no intentes engañar a nadie —nada de phishing ni de ingeniería social— y no toques nada físico.
No iremos contra ti
Si sigues esta política, consideramos tu investigación autorizada. No emprenderemos acciones legales contra ti por ella ni la denunciaremos a la policía. Si lo hace un tercero, diremos que actuaste conforme a esta política.
Qué no hace falta que nos cuentes
Avisos sin nada que un atacante pueda aprovechar, como:
- una cabecera o un ajuste que falta, sin una forma de aprovechar que falte;
- la configuración del correo, como SPF, DKIM o DMARC, sin un mensaje que de verdad llegara haciéndose pasar por nosotros;
- meter en un marco una página que no tiene ninguna acción;
- problemas que necesitan un navegador antiguo, o un móvil que ya está comprometido o rooteado;
- la denegación de servicio por volumen.
Un fallo de un servicio que usamos —Cloudflare, Google, MapTiler, RevenueCat— es de ese servicio, y es a ellos a quien hay que avisar. Si además afecta a Mintakka, cuéntanoslo también.
Publicar lo que encontraste
Te pedimos que no lo hagas público hasta que esté arreglado, o hasta 90 días después de tu aviso, lo que llegue antes. Si el arreglo necesita más tiempo, te explicaremos por qué y acordaremos una fecha contigo.
Sin recompensa
No pagamos por los avisos. Lo que sí podemos ofrecer es una respuesta rápida y un arreglo.