unopost

Política de divulgación responsable

Última actualización: 15 de octubre de 2026

Esta es una traducción del original en inglés (https://unopost.com.au/responsible-disclosure), facilitada únicamente para su comodidad; en caso de cualquier diferencia, prevalece la versión en inglés.

1. Introducción

Agradecemos los informes de cualquier persona que crea haber encontrado una vulnerabilidad de seguridad en Unopost. Esta Política de Divulgación Responsable explica cómo informar de una, las normas que le pedimos que siga mientras busca y lo que haremos a cambio. La publica AWS, CYY & Co. Pty Ltd (ACN 686 116 245) en calidad de Fiduciario (Trustee) de Mumu, Lulu & Co. (ABN 54 837 123 965), que opera Unopost.

No tenemos un programa remunerado de recompensas por errores (bug bounty) ni pagamos recompensas por los informes. Con su permiso, le daremos las gracias por su nombre en esta página una vez solucionado el problema.

2. Ámbito de aplicación

Esta Política abarca:

No abarca los servicios gestionados por terceros que utilizamos, como Square, Australia Post o Amazon Web Services. Comunique los problemas de esos servicios al proveedor correspondiente.

3. Cómo informar

Escriba a support@unopost.com.au con la palabra «Security» en el asunto. Incluya:

  • Una descripción del problema y del impacto que cree que tiene
  • La URL, el endpoint o la función afectados
  • Instrucciones paso a paso para reproducirlo, con cualquier código de prueba de concepto, capturas de pantalla o solicitudes
  • Cómo podemos ponernos en contacto con usted y si desea que le demos las gracias por su nombre

Si ha encontrado una clave, una contraseña u otro secreto expuesto, avísenos de inmediato y no lo utilice. Si es posible, escriba en inglés.

4. Lo que le pedimos

Al buscar e informar de una vulnerabilidad, usted debe:

  • Realizar pruebas únicamente con cuentas, documentos y Cartas que sean suyos o que tenga permiso de su titular para utilizar
  • Detenerse en cuanto acceda a información personal, documentos o datos que no sean suyos, e indicarnos a qué ha accedido. No los copie, conserve, modifique ni elimine, ni los comparta con nadie
  • No degradar ni interrumpir el Servicio, tampoco mediante ataques de denegación de servicio, pruebas de carga o análisis automatizados de gran volumen
  • No enviar Cartas a nadie sin su consentimiento, ni enviar mensajes a nuestros clientes, a sus destinatarios o a nuestro personal
  • No utilizar ingeniería social, phishing ni ataques físicos contra nuestro personal, nuestras instalaciones o nuestros proveedores de servicios
  • No utilizar la tarjeta de pago, el Crédito de Empresa ni las credenciales de otra persona
  • Hacer solo lo necesario para demostrar que la vulnerabilidad existe
  • Mantener la confidencialidad de los detalles hasta que hayamos solucionado el problema o hasta 90 días después de su informe, lo que ocurra primero, salvo que acordemos otra cosa con usted
  • Cumplir la ley

5. Lo que haremos

Cuando informe de una vulnerabilidad de conformidad con esta Política, nosotros:

  • Acusaremos recibo de su informe en un plazo de 2 días hábiles
  • Le diremos si podemos reproducir el problema y le mantendremos informado de nuestros avances
  • Procuraremos corregir una vulnerabilidad confirmada en un plazo de 90 días, y antes si pone en riesgo información personal
  • Le avisaremos cuando el problema se haya corregido y le daremos las gracias por su nombre si nos lo ha pedido

Si el problema afectó a información personal, lo evaluaremos y lo notificaremos a las personas afectadas y a la Office of the Australian Information Commissioner según se describe en la Sección 11 de nuestra Política de Privacidad (https://unopost.com.au/privacy).

6. Puerto seguro (safe harbour)

Si actúa de buena fe y de conformidad con esta Política, consideraremos que su investigación está autorizada, no emprenderemos acciones legales contra usted en relación con ella y no le denunciaremos ante las autoridades. Si un tercero emprende acciones legales contra usted por una investigación que cumplió esta Política, haremos saber que su investigación contaba con nuestra autorización.

Esto no se aplica si ha incumplido esta Política, ha accedido a más de lo necesario o ha pedido un pago a cambio de no divulgar un problema. Si no está seguro de si algo que pretende hacer está permitido, consúltenos primero en support@unopost.com.au.

7. Lo que no consideramos una vulnerabilidad

Por lo general, lo siguiente queda fuera de esta Política, salvo que pueda demostrar un impacto real en la seguridad del Servicio o de nuestros usuarios:

  • Informes de escáneres automatizados sin una prueba de concepto que funcione
  • La mera ausencia de cabeceras de seguridad, atributos de cookies o registros de autenticación de correo electrónico (SPF, DKIM, DMARC)
  • Clickjacking en páginas sin ninguna acción que pueda resultar perjudicial
  • Self-XSS, o problemas que requieran acceso físico al dispositivo desbloqueado de un usuario
  • La revelación de la versión del software, o la ausencia de límites de frecuencia en acciones sin consecuencias para la seguridad
  • La denegación de servicio y las vulnerabilidades de los servicios de terceros indicados en la Sección 2

8. Cambios en esta Política

Podemos modificar esta Política en cualquier momento publicando una nueva versión en esta página. A cada informe se le aplica la versión publicada en el momento en que se presenta.