Seguridad
Última actualización: 12 October 2026
RPMBase trata la seguridad como una responsabilidad esencial del producto. Esta página explica cómo protegemos las cuentas y los datos, y cómo notificar vulnerabilidades de forma responsable.
1. Prácticas de seguridad
Usamos controles habituales del sector, adecuados para un producto de nuestro tamaño y perfil de riesgo: transporte cifrado (TLS) para el tráfico de producción, autenticación con controles de sesión y de tokens, Firebase App Check (incluido App Attest en iOS) en las rutas de Ask, facturación y sesión, acceso de mínimo privilegio a sistemas y secretos de producción, supervisión con depuración de datos personales cuando es viable, y actualizaciones periódicas de dependencias e infraestructura.
Acciones sensibles como la eliminación de la cuenta pueden estar limitadas en frecuencia o exigir una verificación adicional. Las cuentas de correo no verificadas no pueden escribir registros de garaje hasta que se confirme la dirección.
2. Protección de datos
Los datos personales se tratan como se describe en la Política de privacidad. Los datos de la tarjeta de pago los tratan Apple o Google; RPMBase no almacena números completos de tarjeta.
Puede exportar los datos del garaje desde Perfil mientras tiene la sesión iniciada. Las instrucciones públicas de eliminación están en la página de Eliminación de la cuenta.
3. Divulgación responsable
Si cree que ha encontrado una vulnerabilidad de seguridad en RPMBase, infórmela en privado para que podamos investigarla antes de una divulgación pública.
Escriba a support@rpmbase.app con los pasos para reproducir, las URL o endpoints afectados y una valoración del impacto. No acceda, modifique ni destruya datos que no sean suyos. No realice denegación de servicio, ingeniería social ni ataques físicos. Conceda un plazo razonable de corrección antes de la divulgación pública.
Pretendemos acusar recibo de informes válidos en un plazo de 3 días hábiles y mantener informados a quienes informan sobre el avance.
4. Fuera de alcance
Los informes limitados a cabeceras de seguridad ausentes sin un impacto demostrado, a problemas teóricos sin una prueba de concepto, o a vulnerabilidades en servicios de terceros fuera de nuestro control suelen quedar fuera de alcance.
5. security.txt
Los datos de contacto legibles por máquina se publican en https://rpmbase.app/.well-known/security.txt.