1. Cómo protegemos tu cuenta
- HTTPS en todas partes. more.you, la app, el servidor MCP y las páginas publicadas se sirven por HTTPS. Los dominios propios reciben un certificado automáticamente.
- Inicio de sesión con Google. Inicias sesión con tu cuenta de Google, así que More.You nunca ve tu contraseña de Google. Cualquier contraseña guardada de un registro anterior se conserva solo como hash bcrypt.
- Sesiones seguras. Las cookies de inicio de sesión son seguras y solo HTTP, así que los scripts de una página no pueden leerlas.
- Conexiones de IA que controlas tú. Control por IA conecta un asistente mediante OAuth. Tú apruebas cada conexión y puedes eliminarla.
- Sin secretos en el código. Las claves y las contraseñas se guardan en AWS Systems Manager Parameter Store.
- Protección frente a abusos. Límites de frecuencia en el inicio de sesión y el registro, y una comprobación de que toda petición que modifica datos procede de nuestro propio sitio.
- Pagos con Stripe. Los datos de la tarjeta van directamente a Stripe. Nunca vemos ni guardamos números de tarjeta.
La Política de privacidad explica qué datos conservamos y con quién los compartimos.
2. Reportar una vulnerabilidad
Escribe a security@more.you e incluye:
- una descripción del problema y de lo que un atacante podría hacer con él;
- los pasos para reproducirlo, con cualquier código de prueba de concepto o capturas de pantalla;
- dónde está, por ejemplo more.you, app.more.you o mcp.more.you;
- tu nombre o alias, si quieres que se te reconozca.
Por favor, no publiques una vulnerabilidad en un reporte público, una reseña ni una publicación en redes sociales.
3. Alcance
Dentro del alcance
- more.you y los subdominios que gestionamos, incluidos app.more.you y api-app.more.you.
- Las páginas publicadas en more.you/<name> y en dominios propios conectados.
- El servidor MCP de More.You en mcp.more.you/api y su inicio de sesión con OAuth.
Fuera del alcance
- Problemas en servicios que usamos, como Amazon Web Services, Google, Microsoft, Stripe, OpenAI, Cloudflare y las redes sociales. Repórtalos a la empresa que los administra.
- Problemas en asistentes de IA que se conectan a nuestro servidor MCP, como ChatGPT, Claude y Gemini.
- Ataques que requieren acceso físico al dispositivo de una víctima, ingeniería social contra nuestro personal o denegación de servicio por volumen de tráfico.
- Problemas que ya son públicos.
- Reportes que no demuestran un daño real.
4. Reglas para las pruebas
- Haz pruebas solo con tu propia cuenta y tus propias páginas.
- No leas, cambies ni borres datos de otras personas. Si accedes a ellos por accidente, detente y cuéntanos lo que viste.
- No ejecutes escaneos automáticos que hagan más lento el Servicio para los demás.
- No intentes cobrar un pago desde una página que no es tuya ni uses tarjetas que no tengas permiso para usar.
5. Puerto seguro
Si haces un esfuerzo de buena fe por cumplir esta política durante tu investigación, consideramos que tu investigación está autorizada. Trabajaremos contigo para entender y corregir el problema con rapidez, y no iniciaremos ni apoyaremos acciones legales por ello.
6. Divulgación coordinada
Danos un plazo razonable para investigar y corregir el problema antes de hacerlo público. Una vez corregido, estaremos encantados de reconocer tu aportación en cualquier aviso público.
7. security.txt
Publicamos /.well-known/security.txt conforme a la RFC 9116, con la misma dirección de contacto y un enlace a esta página.
8. Mantén tu cuenta segura
- Activa la verificación en dos pasos en la cuenta de Google con la que inicias sesión.
- Elimina los asistentes de IA y las conexiones de Stripe que ya no uses.
- Nunca te pedimos la contraseña por email. Si un email te la pide, reenvíalo a security@more.you.
