| Versión | Soportada |
|---|---|
| 1.x.x | ✅ |
Si descubres una vulnerabilidad de seguridad en este proyecto, por favor sigue estos pasos:
- ❌ Abrir un issue público en GitHub
- ❌ Divulgar la vulnerabilidad públicamente antes de que sea corregida
- Envía un correo al mantenedor a:
yhon.elvis.49@gmail.comcon el asunto:[SECURITY] Reporte de Vulnerabilidad - Incluye la siguiente información:
- Tipo de vulnerabilidad
- Rutas completas de los archivos afectados
- Ubicación del código fuente afectado (tag/branch/commit o URL directa)
- Instrucciones paso a paso para reproducir el problema
- Código de prueba de concepto o exploit (si es posible)
- Impacto del problema
- ✅ Confirmación de recepción de tu reporte en 48 horas
- ✅ Una evaluación inicial en 1 semana
- ✅ Actualizaciones regulares sobre el progreso
- ✅ Crédito en el aviso de seguridad (si lo deseas)
Este proyecto implementa las siguientes medidas de seguridad:
- Autenticación con tokens JWT y claves secretas seguras
- Hash de contraseñas con bcrypt
- Validación de entrada con Pydantic
- Prevención de inyección SQL mediante SQLAlchemy ORM
- Límite de peticiones en endpoints sensibles
- Configuración de CORS
- Middleware de cabeceras de seguridad
- Protección XSS mediante sanitización integrada de Angular
- Tokens CSRF en formularios
- Cookies HTTP-only seguras para tokens
- Cabeceras de Política de Seguridad de Contenido
- Contenedores Docker con usuarios no-root (recomendado)
- Actualizaciones regulares de dependencias vía Dependabot
- Escaneo de seguridad automatizado en CI/CD
- Detección de secretos en commits
- Nunca hagas commit de secretos - Usa variables de entorno
- Mantén las dependencias actualizadas - Revisa los PRs de Dependabot prontamente
- Sigue las guías de código seguro
- Prueba las implicaciones de seguridad de tus cambios
- Sin credenciales o secretos hardcodeados
- Validación de entrada en todos los datos de usuario
- Consultas parametrizadas (sin SQL crudo)
- Verificaciones de autenticación/autorización apropiadas
- Datos sensibles no registrados en logs
- Dependencias solo de fuentes confiables