TrompTechEsto es una traducción. Solo el texto en neerlandés es jurídicamente vinculante; en caso de diferencia, prevalece ese.
Última actualización: 30 de septiembre de 2026
¿Has encontrado una vulnerabilidad en alguno de nuestros sistemas? Gracias por avisarnos. En esta página explicamos cómo gestionamos los avisos, qué valoramos y qué no, y qué puedes esperar de nosotros.
1. Cómo informar
Escribe a security@tromptech.nl. Para avisos sensibles puedes cifrar con nuestra clave PGP (bajo petición).
Incluye en tu aviso:
- Una descripción clara del problema y su impacto
- Pasos para reproducirlo (un ejemplo que funcione, si es posible)
- La URL o el componente donde lo encontraste
- Si quieres aparecer en nuestro cuadro de honor y, en ese caso, con qué nombre
2. Lo que prometemos
- Acuse de recibo en un plazo de 2 días hábiles
- Primera respuesta sobre el fondo en un plazo de 5 días hábiles
- Actualizaciones de estado al menos cada 14 días hasta que se resuelva el aviso
- Ninguna acción legal contra investigadores que respeten estas reglas
- Una mención en nuestro cuadro de honor si lo deseas
Por ahora no pagamos recompensas económicas por los avisos, pero sí te damos las gracias con un pequeño regalo, un descuento en nuestros servicios o una mención. Para hallazgos excepcionales estamos abiertos a un acuerdo a medida.
3. Lo que valoramos
- Inyección SQL, XSS, CSRF, SSRF, RCE
- Problemas con el inicio de sesión y los permisos de acceso
- Acceso a datos de otras personas (IDOR, control de acceso defectuoso)
- Filtraciones de datos (datos personales, claves, tokens)
- Errores de configuración con consecuencias para la seguridad (almacenamiento abierto, bases de datos públicas y similares)
4. Lo que consideramos menos relevante
- Cabeceras de seguridad ausentes sin consecuencia concreta
- Self-XSS
- CSRF teórico en páginas públicas de solo lectura
- SPF, DKIM y DMARC sin un ejemplo de phishing que funcione
- Ataques con mucho tráfico (DDoS, fuerza bruta)
5. Reglas del juego
- Danos un plazo razonable para responder antes de hacer nada público (referencia: 90 días)
- Sin daños a nuestros datos, servicios o clientes
- Nada de fuerza bruta, ni ataques con mucho tráfico, ni engaños (ingeniería social) a nuestro personal o clientes
- Prueba solo en tu propia cuenta o en una cuenta de prueba. Pídenos una si la necesitas.
- Si llegas a datos de otras personas, avísanos de inmediato y no los descargues
6. Alcance
Dentro del alcance:
- tromptech.nl y todos sus subdominios
- El espacio de trabajo de TrompTech Layer (app.tromptech.nl)
- Nuestras direcciones de API (/api/*)
- Nuestras automatizaciones accesibles mediante una dirección directa
Fuera del alcance:
- Sitios que hemos creado para clientes con su propio dominio
- Servicios de terceros que usamos (como Vercel, Supabase y OpenAI): infórmales directamente a ellos
- Nuestro entorno de administración (requiere permiso, así que no es posible investigarlo)
7. Contacto
- Correo electrónico: security@tromptech.nl
- Dirección alternativa: info@tromptech.nl
- security.txt: /.well-known/security.txt
Consulta también: Documentos y acuerdos y Declaración de privacidad.