Seguridad
Seguridad y divulgación
Cómo informar de una vulnerabilidad, cuánto se paga por encontrarla y a qué nos comprometemos después.
Código abierto, y encontrar un fallo tiene recompensa
PrivaMesh se basa en primitivas bien estudiadas: X3DH, el Double Ratchet, AES-256-GCM y ML-KEM-768 en iOS 26. El código que las implementa es público para los tres clientes, así que cualquiera puede leer exactamente lo que hace en lugar de fiarse de una descripción.
Un fallo encontrado en él vale hasta 500 US$ a través del bug bounty.
Informar de una vulnerabilidad
Escribe a privamesh@proton.me con security en el asunto.
- Incluye la versión de la app, el modelo de tu dispositivo y tu versión de iOS.
- Incluye detalles suficientes para reproducir el problema.
- Nunca incluyas tu frase de recuperación. Nunca te la pediremos, por ningún motivo ni en ningún contexto.
A qué nos comprometemos
- Acuse de recibo en 2 días hábiles. Si no tienes respuesta, da por hecho que el correo se perdió y vuelve a enviarlo.
- Una corrección o un plan en 30 días para cualquier cosa que permita leer mensajes, suplantar una cuenta o vincular a un usuario con su actividad.
- Crédito si lo quieres, silencio si no. No te nombraremos sin preguntar.
- Ninguna amenaza legal por investigación de buena fe que no apunte a cuentas o datos de otras personas.
Recompensas
Los hallazgos confirmados se pagan a través del programa de bug bounty: hasta 500 US$ por una vulnerabilidad crítica, y el pago se hace al confirmarla, no al corregirla. Los niveles, el alcance y los problemas conocidos que no cuentan están publicados allí, porque un programa que paga en silencio por sus propias carencias documentadas no es un programa.
Versiones compatibles
Las correcciones de seguridad llegan en la siguiente versión del App Store. PrivaMesh funciona en iOS 18 o posterior y ha publicado una sola versión mayor, así que no hay una rama anterior a la que portar correcciones. Cuando eso cambie, el periodo de soporte se indicará aquí en lugar de darse por supuesto.
Qué se ha corregido
Desde agosto de 2026 ha habido doce informes externos y dos auditorías internas. Las correcciones están hechas, pero ninguna está aún en tu teléfono: la 1.1, la versión del App Store, se compiló el 13 de agosto, antes de que se escribieran, y llegarán a los usuarios con la próxima versión. Hasta entonces, considera que la app publicada tiene los problemas que corrigen. Lo que se documentó en lugar de corregirse está en limitaciones conocidas. Quién informó de qué no se publica.
Alcance
El cliente de iOS, el protocolo on-chain y el servicio de comisiones descritos en la página de arquitectura están dentro del alcance. La infraestructura de terceros - la propia Solana, los proveedores RPC, Apple - no nos corresponde corregirla, aunque queremos saberlo. Para los límites de lo que protege el diseño, consulta el modelo de amenazas y las limitaciones conocidas.
Preguntas frecuentes
¿Cómo informo de una vulnerabilidad?
Escribe a privamesh@proton.me con «security» en el asunto. Incluye la versión de la app, tu dispositivo y versión de iOS, y detalles suficientes para reproducirla. Intentamos acusar recibo en 2 días hábiles.
¿Hay un bug bounty?
Sí. Hasta 500 US$ por un hallazgo crítico, 200 US$ alto, 75 US$ medio y 25 US$ bajo, con la gravedad definida por lo que el hallazgo rompe en nuestro modelo de amenazas. Todos los niveles, el alcance y las exclusiones están en la página del bug bounty.
¿Qué versiones reciben correcciones de seguridad?
Las correcciones llegan en la siguiente versión del App Store. PrivaMesh ha publicado una sola versión mayor, así que todavía no hay una rama anterior a la que portarlas.