Seguridad y comunicación de vulnerabilidades

Última actualización: 21 de junio de 2026

Comunicar una vulnerabilidad

Agradecemos los avisos de investigadores de seguridad y los tomamos en serio. Si crees que has encontrado una vulnerabilidad en Returner, escribe a [email protected] (o [email protected]) con datos suficientes para reproducirla: URL o endpoint afectado, pasos y cualquier prueba de concepto. Nuestro contacto legible por máquinas está publicado en /.well-known/security.txt.

Alcance

Incluye la aplicación y el panel de Returner (app.returner.me), el portal de devoluciones, nuestra API pública (/api/v1) y el sitio de marketing. Quedan fuera los servicios de terceros de los que dependemos (Shopify, alojamiento, pagos y correo, que deben notificarse al proveedor correspondiente), los ataques de denegación de servicio volumétricos y los hallazgos que exijan acceso físico o un dispositivo de usuario comprometido.

Protección al investigador

No emprenderemos ni apoyaremos acciones legales contra quien actúe de buena fe, evite vulnerar la privacidad o degradar el servicio, no acceda a datos ajenos y nos dé un plazo razonable para corregir antes de publicar. No ejecutes escáneres que generen carga destructiva ni descargues o conserves datos personales de otro usuario. Un solo registro que demuestre el acceso basta como prueba: detente ahí y avísanos.

Nuestro compromiso

• Acusamos recibo de los nuevos avisos en 5 días laborables.
• Te mantenemos al día durante el análisis y la corrección.
• Practicamos la divulgación coordinada: pedimos hasta 90 días para corregir antes de publicar y reconoceremos tu trabajo cuando el problema quede resuelto.

Contacto

Seguridad: [email protected]
Operado por Friros AB, Suecia. Consulta nuestra Política de privacidad y los Términos.