Todo en esta pagina es observable, fechado y auditable. Si nos estas evaluando para trabajo que toca datos sensibles, esto deberia responder la mayoria de tus preguntas en menos de cinco minutos.
Cada repositorio corre analisis estatico en cada pull request. Bloqueamos merges sobre hallazgos que no podemos justificar, no sobre warnings.
Dependabot vigila el arbol. CI corre npm audit al umbral de alta severidad en cada push. Checks de provenance estilo Shai-Hulud corren sobre releases nuevos de paquetes que tocan secretos o pagos.
No se permite que un secreto llegue al historial de git. Un pre-commit hook bloquea commits con credenciales filtradas. CI corre gitleaks en cada push y en cada barrido calendarizado. Cada llave tiene fecha de rotacion.
Antes de lanzamiento, cada sitio construido por Impleia pasa por un pentest con Shannon contra un ambiente de staging con el codigo en mano. Los hallazgos se reportan con prueba de concepto funcional. Corremos el mismo proceso sobre nuestro propio sitio cada trimestre.
Si crees haber encontrado un problema de seguridad en algo que operamos — impleia.com, un sitio de cliente que construimos, un API que exponemos — reportalo y respondemos.
security@impleia.comNos comprometemos a un acuse de recibo en menos de 24 horas y a una primera respuesta sustantiva en menos de 72 horas.
No corremos un bug bounty pagado hoy. Damos credito publico en nuestro changelog (si quieres), y para reportes sustantivos mandamos un agradecimiento que no es solo una playera.
Antes de cualquier escaneo, el cliente firma una clausula que nombra los sistemas en scope, la ventana de prueba y los proveedores fuera de scope. La clausula esta escrita para funcionar en ambos lados de la frontera Mexico-EE.UU.
Esta pagina se escribe a mano. Los badges reflejan el estado de nuestros repositorios publicos al corte de la ultima auditoria fechada. Los feeds de estado machine-readable se anaden junto con la siguiente auditoria.