Política de seguridad
¿Has encontrado un problema de seguridad en Bluesky.bot? Gracias por avisarnos. Infórmanos en privado, para que podamos proteger a los creadores de bots antes de hacer nada público.
Informar de una vulnerabilidad
Escribe a [email protected], en inglés o en francés.
No abras una incidencia, publicación o debate público sobre un problema de seguridad.
Por favor, incluye:
- una descripción del problema y de su impacto;
- los pasos para reproducirlo o una prueba de concepto;
- las URL, rutas o archivos afectados;
- cualquier arreglo que sugieras.
No incluyas datos reales de usuarios ni credenciales activas en el informe.
Qué esperar
- Acuse de recibo en un máximo de 72 horas.
- Una primera valoración en un máximo de 7 días.
- Un arreglo y, después, una divulgación pública coordinada contigo una vez que los usuarios estén protegidos. Se te menciona si lo deseas.
Alcance
- La aplicación web en bluesky.bot y la resolución de handles *.bluesky.bot (/.well-known/atproto-did)
- El inicio de sesión OAuth de Bluesky y la gestión de sesiones
- La API pública, el back-office de administración y el servicio de etiquetas
Fuera de alcance: la denegación de servicio por volumen, la ingeniería social y los problemas de servicios de terceros (Bluesky, Cloudflare), que deben notificarse a ellos.
Versiones compatibles
Solo el despliegue de producción actual en bluesky.bot recibe correcciones de seguridad.
Contacto legible por máquinas
El mismo contacto se publica en /.well-known/security.txt (RFC 9116).