⚠️ BORRADOR pendiente de revisión legal. Redactado por el equipo técnico como punto de partida. No publicar ni entregar a ningún investigador sin la revisión y el ajuste de un abogado colegiado en Perú.
Este documento existe porque estas diez reglas eran, hasta ahora, diez frases en una página de marketing (
web/alysec.html, sección#reglas). El Safe Harbor condiciona su propia eficacia a que se cumplan —su punto 1 las cita— y un compromiso jurídico no puede depender de un ancla de una landing que se reescribe sin versionar. A partir de aquí, la fuente citable son estas diez reglas numeradas; la página las repite en lenguaje de producto, y si alguna vez divergieran, manda este documento.
Son el límite de conducta de toda persona acreditada en el programa privado de AlySec, por cada alcance que se le asigne. Se aceptan al firmar el Acuerdo del Investigador, y se vuelven a aceptar — aplicadas a un cliente y un alcance concretos — en cada Aceptación de Programa.
Las cinco prohibiciones (X1–X5) replican el punto 3 de la
Adenda de Bug Bounty, que es el documento que firma el
titular del sistema. Se escriben aquí para que quien investiga pueda leerlas sin
tener delante un contrato ajeno. Si el texto de la adenda y el de aquí
divergieran, prevalece la adenda: es la que delimita lo que el titular
consintió, y nadie puede autorizar en su nombre más de lo que él autorizó.
Se citan por su clave (P3, X2) en los reportes, en el triage y en cualquier
comunicación sobre un incumplimiento.
P1. Sólo el alcance que el titular firmó. Lo que no esté en la lista de aplicaciones que AlySec te comunique por escrito queda fuera, incluida la infraestructura de terceros que esa aplicación utilice (nube, pasarelas de pago, CDN). Esos sistemas no son del titular y el titular no puede autorizarlos.
P2. Explotación manual, para demostrar el impacto y no sólo el fallo. Un hallazgo vale por lo que permite hacer, no por lo que aparenta. Se admite ir más allá de la detección hasta donde haga falta para demostrarlo — y ni un paso más allá de eso.
P3. Cuentas de prueba, y se para al demostrar el impacto. Se interactúa únicamente con cuentas propias o con las de prueba que se te entreguen. En cuanto el impacto queda demostrado a pequeña escala, se para: repetirlo a mayor escala no demuestra nada nuevo y sí causa daño.
P4. Reportar primero a AlySec, con los pasos para reproducirlo. Antes que a nadie, y con el detalle suficiente para que otra persona repita el hallazgo.
P5. Divulgar al remediarse, o a los 90 días. Lo que ocurra primero, contado desde la fecha de tu reporte. No se te pedirá silencio indefinido.
X1. Denegación de servicio ni pruebas de carga contra los sistemas en producción del titular.
X2. Tocar datos de personas reales: ni acceder, ni descargar, ni conservar. Aunque sea para demostrar el hallazgo. Se demuestra con cuentas propias.
X3. Ingeniería social al equipo, clientes o proveedores del titular.
X4. Acceso físico a las instalaciones del titular.
X5. Modificar ni borrar datos o configuraciones del titular.
Romper cualquiera de las diez cierra el acceso al programa y deja el Safe Harbor sin efecto desde el momento del incumplimiento, aunque el resto del trabajo haya sido impecable. El compromiso de AlySec de no accionar se sostiene sobre que la conducta esté autorizada por el titular; una conducta fuera de estas reglas no lo está, y ningún acuerdo privado puede despenalizar lo que la Ley N.º 30096 (mod. Ley N.º 30171) tipifica.
Un error honesto no es un incumplimiento oculto. Si durante una prueba accedes a datos reales sin buscarlo, provocas una caída o te das cuenta de que te saliste del alcance: para, escríbenos el mismo día y no conserves nada. El punto 4 del Safe Harbor cubre exactamente ese caso, y avisar a tiempo mantiene el compromiso.
Versión del documento: 2026-09-v1-BORRADOR. Cualquier cambio en las diez
reglas se hace aquí primero, subiendo la versión, y después en la página de
producto. La versión que aplica a un investigador es la vigente el día de su
reporte, nunca una posterior.