Seguridad y comunicación de vulnerabilidades

Comunicar un problema de forma privada

Si crees haber encontrado una debilidad de seguridad en este portafolio, escribe a kunmingaden@gmail.com con el asunto Portfolio security report. Describe la página o función afectada, lo que esperabas, lo que ocurrió y los pasos mínimos para reproducirlo. Incluye tu navegador y la hora aproximada cuando sea pertinente.

Comparte solo la evidencia necesaria para comprender el problema. Elimina contraseñas, tokens, información personal y datos ajenos al problema de capturas o registros. Empieza con una descripción breve si los detalles son sensibles; no envíes secretos ni archivos adjuntos maliciosos activos por correo ordinario. Esta política no designa actualmente una clave pública de cifrado.

Alcance y conducta segura

Este canal de comunicación cubre las propias páginas y el código de la aplicación del portafolio. No autoriza pruebas sobre su proveedor de alojamiento, servicio de correo, repositorios enlazados, empleadores, centros educativos ni otros sistemas de terceros. Esos operadores tienen sus propios canales y normas de comunicación.

Usa el método menos intrusivo que permita demostrar el problema. Detente si la prueba puede exponer información de otra persona, cambiar datos que no te pertenecen o afectar a la disponibilidad. No realices pruebas de denegación de servicio, escaneos masivos, ingeniería social, ataques a credenciales ni acceso persistente. Obtén permiso específico antes de hacer pruebas activas que excedan el uso normal de las páginas públicas.

Esta política invita a comunicar observaciones; no es una autorización general de acceso a sistemas ni un acuerdo de protección jurídica. No crea un programa de recompensas por errores ni promete pagos, reconocimiento público o inmunidad frente a acciones de terceros.

Tratamiento de los informes

Los informes pueden ayudar a reproducir y evaluar una debilidad e identificar una corrección adecuada. Puede ser necesario compartir detalles pertinentes con un proveedor de servicios o responsable de un componente que participe en la solución. Indica qué información preferirías que no se compartiera y evita incluir datos personales innecesarios.

Permite un plazo razonable para investigar antes de publicar detalles de explotación y conversa sobre el momento de divulgación por el mismo canal de contacto. Este portafolio personal no ofrece respuesta a incidentes las 24 horas ni garantiza plazos de acuse de recibo, reparación o divulgación. Las obligaciones legales aplicables a un incidente permanecen intactas.

Límites de seguridad actuales

El sitio estático predeterminado no tiene inicio de sesión, pagos, servicio de carga ni formulario respaldado por una base de datos. La guía AWS preparada utiliza permisos de ejecución del servidor; los visitantes no reciben credenciales del proveedor. Limita el tamaño de las solicitudes, el contexto, las llamadas al modelo y el uso compartido. Su herramienta de búsqueda lee material público revisado del portafolio, no archivos privados ni sitios arbitrarios. Las comprobaciones de entradas, salidas y fuentes reducen riesgos, pero no garantizan la exactitud ni evitan todos los abusos. El historial y los ajustes locales permanecen en el navegador. El audio opcional no usa micrófono ni un servicio de audio remoto.

Las revisiones de código y las pruebas automatizadas locales solo describen una versión probada; no certifican la seguridad ni demuestran haber encontrado todas las vulnerabilidades. Los controles AWS preparados incluyen acceso restringido al origen, cabeceras de seguridad y contadores compartidos de abuso y presupuesto. La IA permanece desactivada hasta revisar proveedor, registros y despliegue. HTTPS, DNS, cabeceras, permisos y comportamiento de los controles públicos requieren una verificación independiente antes de la activación. Mantén actualizado el navegador y evita información confidencial en ambos modos.