Política de Seguridad

Mr. Factura maneja datos fiscales y certificados digitales de ARCA. Si encontraste una vulnerabilidad, queremos saberlo, y preferimos enterarnos por vos antes que por un incidente.

Cómo reportar

Escribinos a security@mrfactura.com.ar. Podés escribir en español o en inglés.

Para que podamos reproducir el problema rápido, contanos:

• Qué encontraste y qué impacto tiene: a qué datos o acciones permite llegar.
• Los pasos para reproducirlo, con las URLs involucradas.
• La fecha y la hora aproximadas de tus pruebas, así las cruzamos con nuestros registros.
• Cómo querés que te acreditemos, si querés que lo hagamos.

Qué podés esperar de nosotros

• Te confirmamos que recibimos tu reporte dentro de las 72 horas.
• Te decimos si lo pudimos reproducir y si lo vamos a corregir, con los motivos.
• Te mantenemos al tanto hasta que el problema esté cerrado.
• Te avisamos cuando la corrección esté publicada, por si querés verificarla.

No comprometemos un plazo de corrección: depende de la gravedad y de qué haya que tocar. Sí nos comprometemos a contarte en qué estamos, sin dejarte sin respuesta.

Nuestro compromiso con quien reporta

Si investigás de buena fe y seguís esta política, no vamos a iniciar acciones legales en tu contra ni vamos a pedirle a un tercero que lo haga por el hecho de haber investigado y reportado. Consideramos tu reporte una contribución, no un ataque.

Si un tercero inicia acciones legales contra vos por una investigación que respetó esta política, vamos a dejar constancia de que la investigación estuvo autorizada por nosotros.

Hoy no tenemos un programa de recompensas: no podemos ofrecerte un pago por tu reporte. Lo decimos de frente para que sepas de antemano con qué te vas a encontrar. Si querés, te agradecemos públicamente.

Reglas

El compromiso de arriba vale mientras tu investigación respete lo siguiente:

• No accedas, modifiques ni descargues datos de otras personas. Si tropezás con datos ajenos, pará, no los guardes y contanos qué viste.
• Usá cuentas propias para probar. Podés crear una cuenta gratis.
• No degrades el servicio: nada de pruebas de denegación de servicio, de fuerza bruta ni de carga.
• No hagas ingeniería social ni phishing a nuestros usuarios ni a quienes trabajan con nosotros, y no entres físicamente a ningún lado.
• Dennos un tiempo razonable para corregir antes de hacerlo público. Noventa días es lo que esperamos; si el problema es grave y lo estamos demorando, escribinos y lo hablamos.
• No emitas comprobantes reales contra ARCA como parte de una prueba: una factura autorizada es un acto fiscal de una persona real y no se puede borrar.

Qué está fuera de alcance

Esta política cubre mrfactura.com.ar y la aplicación. Quedan afuera:

• Los sistemas de ARCA. Si encontraste algo ahí, reportalo a ARCA; nosotros no podemos corregirlo.
• Los servicios de terceros que usamos (Mercado Pago, Google, Railway, Resend, entre otros). Cada uno tiene su propio canal de reporte.
• Resultados de escáneres automáticos sin un impacto demostrable.
• La ausencia de una cabecera o de una buena práctica cuando no hay una forma concreta de aprovecharla.

Si tenés dudas sobre si algo entra o no, escribinos igual y lo vemos.

security.txt

Publicamos nuestros datos de contacto según la RFC 9116 en /.well-known/security.txt.