Seguridad

Última revisión: 28 de octubre de 2026

Reportar un fallo

Si encuentras una vulnerabilidad, repórtala en privado por el canal de avisos de seguridad de GitHub: abrir un aviso privado. No abras una incidencia pública con los detalles hasta que esté arreglada.

Qué ayuda en el reporte: qué hiciste, qué esperabas, qué pasó, y el navegador. Si implica datos de otra cuenta, no sigas adelante: describe cómo llegaste al borde y para ahí.

Esto lo mantiene una persona: la respuesta llega cuando llega, no hay programa de recompensas y no hay plazo prometido. Lo que sí hay es que un reporte real se arregla y se cuenta.

Qué está dentro del alcance

• La página publicada y su código.
• El aislamiento entre usuarios de la base: que una sesión pueda leer o escribir datos de otra es el fallo más grave posible aquí.
• Las capturas: su bucket es privado y se sirven con una URL firmada de corta duración.

Fuera de alcance: la infraestructura de GitHub o de Supabase —repórtalo a ellos—, y las denuncias automáticas de escáneres sin un camino real desde una entrada de usuario hasta el fallo.

Lo que la página hace por defensa, dicho sin vender de más

• Una política de contenido declarada en la cabecera, con default-src 'none': el único destino de red permitido es el proyecto Supabase, y las imágenes sólo pueden ser data: o blob:. Un respaldo ajeno no puede convertir tu navegador en una baliza que avise a nadie de que lo abriste.
• Cero código de terceros: no hay una sola etiqueta <script src>. No hay CDN del que depender, así que no hay una cadena de suministro que comprometer.
• Aislamiento en la base, no en la pantalla: RLS forzada en la tabla y en el bucket.
• Sólo la clave pública del proyecto está en la página; la clave secreta, que saltaría la RLS, no existe en el repositorio.

Y lo que no hace, porque conviene saberlo: el código de la aplicación es inline, así que la política de contenido no impediría que se ejecutara código inyectado. Lo que impide es que ese código hable con alguien. Separar el código de la página para cerrar también esa puerta es trabajo pendiente y está escrito como tal.

Cómo se comprueba

Las propiedades de arriba no son promesas: son pruebas que corren en cada cambio y que ponen la publicación en rojo si dejan de cumplirse. Ninguna versión llega a la página sin pasar por ellas.

Contacto

Aviso privado en GitHub · security.txt

Una precisión sobre ese security.txt: la RFC 9116 lo quiere en la raíz del dominio, y esta página vive dentro de un proyecto de GitHub Pages, así que la raíz no es suya. Un escáner que busque la ruta canónica no lo va a encontrar. Está publicado porque esta página lo enlaza y porque el día que haya dominio propio ya está escrito — no porque cumpla.