¿Encontraste un problema de seguridad? Avísanos. Esto es lo que pasa después.

Lo que cubre esta política

Esta política cubre el software que crea SecureEyes y los servicios que opera SecureEyes. Se aplica a las versiones que tienen soporte actualmente: la versión actual de la app en el App Store, la versión del Hub en el canal de actualizaciones y los servicios tal como funcionan hoy. Si encontraste un problema en una versión anterior, compruébalo primero en la actual; si sigue ahí, repórtalo.

• La app SecureEyes para iPhone, iPad y Mac, tal como se publica en el App Store.
• SecureEyes Hub: el daemon sehub, su proceso auxiliar con privilegios elevados, su página web de administración y el instalador del Hub en get.secureeyes.app.
• El relé en relay.secureeyes.app y el servidor de licencias en license.secureeyes.app.
• Este sitio web, secureeyes.app, y el canal de actualizaciones del Hub en updates.secureeyes.app.

Cómo reportar

El correo electrónico es el único canal, y llega a una persona, no a una cola. No reportes una vulnerabilidad en las reseñas del App Store, en redes sociales ni en un ticket público, donde un atacante la lee antes que nosotros.

1. 01Escribe a security@secureeyes.app. Basta con un correo normal. Si prefieres cifrarlo, dilo en un primer mensaje y acordaremos una clave contigo; todavía no publicamos una clave PGP, y el cifrado nunca es obligatorio.
2. 02Indica qué producto y qué versión: la versión y la compilación de la app (Ajustes, Acerca de), la versión del Hub (su página de administración, o system/health), o el servicio y la hora en que viste el problema.
3. 03Describe lo que hiciste y lo que viste, paso a paso, para que podamos reproducirlo. Ayuda una prueba de concepto, una solicitud y su respuesta, o una captura de pantalla. Oculta cualquier contraseña de cámara y cualquier grabación antes de enviarlo.
4. 04Di qué crees que podría hacer un atacante con esto, y si tienes alguna señal de que ya se está aprovechando. Esa sola línea cambia la rapidez con la que actuamos.
5. 05Dinos cómo contactarte, y si quieres que te demos crédito con tu nombre cuando se publique la corrección.

No hay programa de recompensas (bug bounty). No pagamos por los reportes, y preferimos decirlo a dejar que esperes otra cosa. Lo que sí hacemos es corregir lo que encuentres, avisarte cuando esté corregido y darte crédito si lo quieres.

Qué esperar de nosotros

1. 01Un acuse de recibo dentro de los 3 días hábiles siguientes a tu correo, de parte de una persona, con una referencia que puedes citar.
2. 02Una primera evaluación dentro de 10 días hábiles: si pudimos reproducirlo, qué tan grave creemos que es y qué planeamos hacer.
3. 03Actualizaciones a medida que avanza la corrección, y un mensaje cuando se haya publicado. Si necesitamos más tiempo del previsto, lo decimos antes de que pase la fecha, no después.
4. 04Divulgación coordinada contigo. El plazo predeterminado es de 90 días desde tu reporte. Publicamos antes cuando la corrección ya salió y los usuarios tuvieron tiempo de actualizar, y podemos pedir más tiempo cuando una corrección necesita un ciclo de publicación en el App Store o en el canal del Hub; no pasaremos de 90 días sin decirte por qué.
5. 05Crédito, si lo quieres, en la nota publicada sobre la corrección. Si prefieres que no te nombremos, no te nombraremos.

Los reportes enviados a esta dirección los lee y gestiona SecureEyes. Podemos compartir el contenido técnico de un reporte con una parte cuyo código o servicio esté involucrado, por ejemplo un fabricante de cámaras, para que se corrija; no compartimos tu identidad sin preguntarte.

Puerto seguro para la investigación de buena fe

Queremos saber de quienes investigan. Si investigas SecureEyes de buena fe, sigues las reglas de la siguiente sección y nos reportas lo que encuentres, no emprenderemos acciones legales contra ti por esa investigación, y no la denunciaremos ante las autoridades. Si un tercero, como un fabricante de cámaras o un proveedor de hosting, inicia una acción legal contra ti por una investigación que siguió estas reglas, diremos públicamente que tu investigación estaba autorizada por esta política.

Buena fe significa que intentaste evitar daños, que no tomaste más de lo necesario para demostrar el problema, que mantuviste confidencial lo que encontraste hasta la divulgación acordada y que no lo usaste para nada más. Esta política no es un permiso para infringir ninguna ley, y no podemos autorizar el acceso a sistemas que no son nuestros.

Las reglas

La investigación que sigue estas reglas está cubierta por el puerto seguro de arriba. La que no las sigue, no lo está.

• Haz pruebas solo en dispositivos, cámaras, Hubs y cuentas que sean tuyos o que tengas permiso explícito para usar, y en el sitio web público. Una prueba del relé o del servidor de licencias debe usar tu propio Hub y tu propia licencia.
• Nunca accedas a la cámara, las grabaciones, las capturas, los eventos o las credenciales de otra persona, ni los veas, grabes o guardes. Si una falla te lo permitiera, detente en cuanto demuestres que te lo permitiría y repórtala. No la demuestres en la cámara de otra persona.
• Nada de denegación de servicio. No satures el relé, el servidor de licencias, el canal de actualizaciones ni el sitio web, y no pruebes cuánta carga soportan.
• Nada de ingeniería social contra SecureEyes, sus proveedores de hosting u otros usuarios. Nada de phishing, llamadas con pretextos ni intentos de acceso físico.
• En el momento en que llegues a datos personales que no son tuyos, incluidas grabaciones, detente, no guardes ninguna copia y repórtalo. Di en el reporte qué viste y que lo borraste.
• No cambies, borres ni coloques nada en un sistema que no sea tuyo. Una prueba de concepto lee; no escribe.
• Guarda lo que encontraste entre tú y nosotros hasta la fecha de divulgación que acordemos. No lo vendas, no lo publiques antes de tiempo ni se lo pases a un tercero, y no lo uses para exigir nada.

Fuera del alcance

No podemos corregir lo siguiente, y un reporte sobre esto le corresponde a quien sí puede. Cuando sepamos quién es, te lo diremos.

• El firmware de las cámaras y las apps y nubes propias de los fabricantes de cámaras. SecureEyes se comunica con las cámaras por ONVIF, RTSP y las interfaces HTTP de los fabricantes; una falla en el software propio de la cámara le toca corregirla al fabricante. Repórtasela; muchos tienen su propia página de seguridad.
• El App Store, StoreKit, iCloud, el llavero de iCloud y otros sistemas de Apple. Repórtalos a Apple.
• Amazon Web Services y los demás proveedores de hosting y de red sobre los que funcionan nuestros servidores. Repórtalos al proveedor.
• Reportes que solo citan la salida de un escáner, la falta de un encabezado de seguridad en una página estática o un número de versión de software sin una forma de explotarlo.
• Una cámara o una red mal configurada por su propietario, como una cámara con su contraseña predeterminada, sobre la que SecureEyes puede advertir pero que no puede cambiar.

Si tienes dudas sobre si algo está dentro del alcance, envíalo de todos modos. Preferimos leer un reporte que resulte ser de otra parte que perdernos uno que sí es nuestro.

El Reglamento de Ciberresiliencia de la UE

SecureEyes, la app y el Hub, es un producto con elementos digitales que se vende en la Unión Europea, y el Reglamento de Ciberresiliencia (Cyber Resilience Act, Reglamento (UE) 2024/2847) se le aplica. Esto es una declaración de lo que hacemos conforme al Reglamento, no asesoría legal.

Cuando tenemos conocimiento de una vulnerabilidad de SecureEyes que se está aprovechando activamente, o de un incidente grave que afecta la seguridad de SecureEyes, lo notificamos a través de la plataforma única de notificación de la ENISA, a las autoridades que designa el Reglamento, en los plazos del Reglamento: una alerta temprana dentro de las 24 horas siguientes a tener conocimiento, una notificación dentro de las 72 horas con lo que se sepa en ese momento sobre la vulnerabilidad y las medidas adoptadas, y un informe final dentro de los 14 días siguientes a que esté disponible una medida correctora o de mitigación (dentro del mes siguiente a la notificación, en el caso de un incidente grave).

Informamos a los usuarios afectados sin demora indebida: en este sitio web, en las notas de la versión de la app en el App Store y en las notas de la versión del Hub en la página de descarga, indicando cuál fue el problema, a qué versiones afecta y qué hacer. SecureEyes no tiene cuentas de usuario ni lista de correo, así que no hay ningún mensaje que podamos enviarte directamente; esta página y las notas de la versión son donde se publica el aviso.

Periodo de soporte

Se ofrecen correcciones de seguridad para la app SecureEyes y el SecureEyes Hub durante cinco años a partir de la fecha de cada versión. Una corrección llega como una nueva versión: una actualización de la app en el App Store y una actualización del Hub en el canal firmado, que el Hub y la app ofrecen cuando se publica. Dentro del periodo de soporte, la forma de recibir las correcciones de seguridad es mantener actualizados la app y el Hub; una versión anterior a la actual no recibe parches en sí misma.

El relé, el servidor de licencias y este sitio web son servicios, no software que se distribuye, y se mantienen mientras estén en funcionamiento.

Cambios en esta política

Esta política tiene fecha del 22 de octubre de 2026. Cualquier cambio en lo que prometemos, en la dirección o en el alcance aparecerá aquí con una nueva fecha. El archivo de contacto legible por máquina en secureeyes.app/.well-known/security.txt indica esta página como su política y tiene su propia fecha de vencimiento, que renovamos cada año.

Contacto

Los reportes de seguridad van a security@secureeyes.app. Cualquier otro asunto sobre SecureEyes va a support@secureeyes.app.