¿Encontró un fallo? Cuéntenoslo.
Operamos un sistema de pago para personas que no pueden permitirse quedar expuestas, sobre una infraestructura pequeña que mantenemos nosotros mismos. Si ha encontrado la forma de romperlo, preferimos saberlo por usted y no por un cliente.
Cómo informar
Envíelo aquí
dev@buyukesim.comBasta un correo. Cuéntenos qué encontró, cómo reproducirlo y qué podría hacer un atacante con ello. Una nota rápida vale más que un informe pulido que nunca envía.
La misma dirección se publica de forma legible por máquinas en /.well-known/security.txt
Lo que recibe
Lo que prometemos
Una respuesta humana
Somos un equipo pequeño, no una mesa de triaje. Buscamos responder en unos días y le diremos con claridad si creemos que es un problema real, incluso cuando pensemos que no lo es.
Sin amenazas legales
No emprenderemos acciones legales, ni pediremos a otros que lo hagan, por investigación de buena fe que siga esta página. Si respeta estas reglas, no tiene nada que temer de nosotros.
Crédito si lo quiere
Dígalo y le nombraremos una vez corregido. Si no dice nada, le mantenemos al margen. No publicaremos su nombre sin preguntar.
Alcance
Qué cuenta
Dentro del alcance
- buyukesim.com y todo lo que cuelga de ahí
- La API de pedidos y los endpoints de pago y webhooks
- El endpoint MCP en mcp.buyukesim.com
- El bot de Telegram
- Nuestro espejo onion en Tor
Fuera del alcance
- Nuestros proveedores, operadores y procesadores de pago - repórtelo a ellos
- Cabeceras ausentes o una nota de escáner sin exploit detrás
- Denegación de servicio, pruebas de carga y avalanchas de tráfico
- Todo lo que requiera acceso físico o un dispositivo robado
- Ingeniería social contra nosotros, nuestros clientes o proveedores
Las reglas
Qué no hacer
No son cláusulas de relleno. Cada una está aquí porque incumplirla dañaría a un cliente real o costaría dinero que preferimos gastar en la corrección.
- No toque datos que no sean suyos. Si llega al pedido de otro cliente, deténgase y cuéntenos qué vio, no lo recopile.
- No cree pedidos falsos para probar flujos de pago. Pregúntenos y le ayudamos a probar de forma segura.
- No lance escáneres automáticos en volumen contra el sitio en producción.
- No degrade el servicio para los clientes. Si una prueba tumbaría el sitio, descríbala en vez de ejecutarla.
- Denos una oportunidad razonable de corregirlo antes de publicar.
Por qué la regla del escáner no es relleno
En julio de 2026 un escaneo automático creó 95 pedidos basura y consumió nuestro presupuesto de soporte en una tarde. Nada fue vulnerado y ningún cliente perdió nada, pero la limpieza y la factura fueron reales. Un escáner apuntado hacia nosotros será bloqueado y casi seguro solo encontrará ruido. Probar a mano encuentra más de todos modos.
No pagamos recompensas
Preferimos decirlo de entrada antes que adornarlo. No hay programa de recompensas ni pago, porque somos una operación pequeña y fingir lo contrario le haría perder el tiempo. Lo que sí ofrecemos: una respuesta rápida y honesta, una corrección real y crédito si lo desea.