We're a small team of 2 creators building XPlus Finance. Security matters to us. If you find a vulnerability, please report it responsibly.
Somos un equipo pequeno de 2 creadores construyendo XPlus Finance. La seguridad nos importa. Si encuentras una vulnerabilidad, reportala de manera responsable.
Important: The existence of security.txt does NOT automatically grant permission to test our systems (per RFC 9116). Testing is ONLY authorized under this Security Policy.
If you:
We consider good-faith security research within scope and these rules as authorized activity.
We will not initiate legal action (including DMCA, CFAA, or equivalent claims) against researchers acting in good faith under this policy. We will work with you to understand and resolve issues quickly.
This Safe Harbor does NOT apply to:
Importante: La existencia de security.txt NO otorga automaticamente permiso para probar nuestros sistemas (segun RFC 9116). Las pruebas SOLO estan autorizadas bajo esta Politica de Seguridad.
Si tu:
Consideramos la investigacion de seguridad de buena fe dentro del alcance y estas reglas como actividad autorizada.
No iniciaremos acciones legales (incluyendo DMCA, CFAA, o reclamos equivalentes) contra investigadores que actuen de buena fe bajo esta politica. Trabajaremos contigo para entender y resolver problemas rapidamente.
Este Safe Harbor NO aplica a:
Email is our official channel El email es nuestro canal oficial
Important: Do NOT include real user data in your report. Use only your own test accounts or accounts we provide for testing.
Importante: NO incluyas datos reales de usuarios en tu reporte. Usa solo tus propias cuentas de prueba o cuentas que te proporcionemos.
Direct access to api.xplusfinance.org may return 403 Forbidden for non-approved traffic (WAF rules, rate limiting). If you need to test API endpoints directly, contact us first and we will provide a safe method (staging environment or temporary controlled access).
403 responses alone are not a vulnerability unless you can demonstrate a security impact (e.g., WAF bypass, misconfiguration leading to data exposure, authentication issues). Reports must include proof of exploitable security impact.
El acceso directo a api.xplusfinance.org puede retornar 403 Forbidden para trafico no aprobado (reglas WAF, rate limiting). Si necesitas probar endpoints de la API directamente, contactanos primero y te proporcionaremos un metodo seguro (entorno staging o acceso temporal controlado).
Las respuestas 403 por si solas no son una vulnerabilidad a menos que puedas demostrar un impacto de seguridad (ej: bypass de WAF, mala configuracion que lleve a exposicion de datos, problemas de autenticacion). Los reportes deben incluir prueba de impacto de seguridad explotable.
To avoid triggering our abuse protections, please follow these guidelines:
Third-party services include: Stripe, PayPal, Plaid, Cloudflare, Vercel, and any other external integrations. Automated scanning that causes service disruption, excessive traffic, or triggers our abuse protections is excluded.
Para evitar activar nuestras protecciones anti-abuso, sigue estas guias:
Los servicios de terceros incluyen: Stripe, PayPal, Plaid, Cloudflare, Vercel, y cualquier otra integracion externa. Escaneo automatizado que cause interrupcion del servicio, trafico excesivo, o active nuestras protecciones anti-abuso esta excluido.
To maintain Safe Harbor protection, you must:
Para mantener la proteccion Safe Harbor, debes:
Please do not publicly disclose vulnerability details before we have fixed the issue.
We follow a coordinated disclosure process aligned with industry standards (CERT/CC, OWASP):
For sensitive reports, you may encrypt your email using our PGP key:
PGP Key: Available at security.txt
Primary channel: [email protected]
We commit to keeping you informed of our progress and will credit you (with permission) once the issue is resolved.
Por favor no divulgues publicamente los detalles de la vulnerabilidad antes de que hayamos solucionado el problema.
Seguimos un proceso de divulgacion coordinada alineado con estandares de la industria (CERT/CC, OWASP):
Para reportes sensibles, puedes encriptar tu email usando nuestra clave PGP:
Clave PGP: Disponible en security.txt
Canal principal: [email protected]
Nos comprometemos a mantenerte informado de nuestro progreso y te daremos credito (con tu permiso) una vez resuelto el problema.
We're a small project with limited resources, but we believe in rewarding valid security findings:
Somos un proyecto pequeno con recursos limitados, pero creemos en recompensar hallazgos de seguridad validos:
| SeveritySeveridad | RewardRecompensa | ExamplesEjemplos | |
|---|---|---|---|
| Low | $5 USD | Information disclosure, minor misconfigurations | Divulgacion de informacion, configuraciones menores |
| Medium | $10 USD | CSRF, stored XSS with limited impact, rate limiting bypass | CSRF, XSS almacenado con impacto limitado, bypass de rate limiting |
| High / Critical | $20+ USD | Auth bypass, SQL injection, RCE, sensitive data exposure | Bypass de autenticacion, SQL injection, RCE, exposicion de datos sensibles |
Important: All rewards are discretionary and depend on the validity, impact, and reproducibility of the finding. We may pay higher rewards for exceptional findings, even if not explicitly listed above. Final reward amounts are determined at our sole discretion.
Importante: Todas las recompensas son discrecionales y dependen de la validez, impacto y reproducibilidad del hallazgo. Podemos pagar recompensas mas altas por hallazgos excepcionales, incluso si no estan listados explicitamente arriba. Los montos finales de recompensa son determinados a nuestra sola discrecion.
With your permission, we'll credit you here after the issue is fixed. Thank you to everyone who helps keep XPlus Finance secure!
Con tu permiso, te daremos credito aqui despues de que el problema sea solucionado. Gracias a todos los que ayudan a mantener XPlus Finance seguro!