Capo es un proyecto open source (licencia MIT) mantenido por un desarrollador independiente. No hay un programa formal de bug bounty, pero los reportes de vulnerabilidades se toman en serio y se atienden con prioridad.
No abras un issue público para vulnerabilidades de seguridad.
Reportala de forma privada a ciromirkin@gmail.com con:
- Una descripción del problema y su impacto potencial.
- Pasos para reproducirlo (o una prueba de concepto, si es posible).
- La versión o el commit donde lo encontraste.
Vas a recibir una respuesta en un plazo razonable. Los problemas críticos se priorizan; los de menor severidad se agendan como cualquier otro trabajo del proyecto.
Cubre el código de este repositorio: la app web (web-app/) y su infraestructura de autenticación,
autorización y manejo de datos. No cubre servicios de terceros de los que Capo depende (GitHub OAuth,
Vercel, Netlify, Prisma Postgres, Sentry) — esos reportes van directamente al proveedor correspondiente.
Los controles vigentes están descritos en detalle en la Política de Seguridad de la app: autenticación con better-auth, aislamiento de datos por cuenta a nivel de servidor, hash de contraseñas con bcrypt, rate limiting en el login y acceso de solo lectura a tableros compartidos (link público con token aleatorio o invitación por email, sin notas). Al reportar, indicá si tu hallazgo evade alguno de esos controles puntuales — ayuda a priorizar.
Límites ya conocidos y aceptados (no hace falta reportarlos, salvo que encuentres un impacto mayor):
- El registro con email no verifica el email: si un invitado a un tablero compartido todavía no tiene cuenta, alguien con el link podría registrarse con ese email y ver el tablero.
- El rate limit de los links públicos vive en memoria por instancia del servidor, no es un límite global.
Pedimos no publicar detalles de la vulnerabilidad (issue, redes sociales, etc.) hasta que haya un fix disponible o se acuerde un plazo de divulgación. A cambio, se te va a acreditar en el changelog o en el commit de la corrección, si así lo preferís.