Alpacto › Report a vulnerability

Report a vulnerability in Alpacto

If you found a hole in Alpacto, tell us. We are grateful for good-faith reports and will not act against you for them. This page is in English, Russian and Spanish: jump to Русский or Español.

What is in scope

The Alpacto apps for iOS and Android, the API at api.alpacto.com and this website, alpacto.com. Out of scope: third-party services we rely on (Apple, Google, Cloudflare, Resend) and attacks on people, such as social engineering, physical access or guessing other people’s accounts.

How to report

Write to support@alpacto.com. Tell us what you found, how to repeat it and what harm it could do. Please keep the details private until we have fixed the problem.

Use your own test account instead of reading or changing other people’s data. We reply within five working days and tell you how we plan to fix it.

We cannot promise fix deadlines, because Alpacto has one owner.

Our promise

If you act in good faith and within this scope, we will not take legal action against you, report you to law enforcement or cut your access because of your research. We see such reports as help.

The same contact is published in security.txt.

Русский

Что входит в рамки

В рамки входят приложения Alpacto для iOS и Android, их API (api.alpacto.com) и сайт alpacto.com. Не входят чужие сервисы, которыми мы пользуемся (Apple, Google, Cloudflare, Resend), и атаки на людей: социальная инженерия, физический доступ, подбор чужих аккаунтов.

Как сообщить

Напишите на support@alpacto.com: что вы нашли, как это повторить и какой вред возможен. Пожалуйста, не публикуйте подробности, пока мы не исправим проблему, и используйте свой тестовый аккаунт, а не чужие данные.

Мы ответим в течение пяти рабочих дней и расскажем, как будем исправлять.

Сроков исправления обещать не можем: у проекта один владелец.

Наше обещание

Если вы действовали добросовестно и в этих рамках, мы не будем подавать на вас в суд, обращаться в правоохранительные органы и закрывать вам доступ из-за исследования. Мы считаем такие сообщения помощью.

Español

Alcance

Alcance: las apps de Alpacto para iOS y Android, su API (api.alpacto.com) y el sitio alpacto.com. Fuera de alcance: servicios de terceros que usamos (Apple, Google, Cloudflare, Resend) y ataques a personas, como ingeniería social, acceso físico o adivinar cuentas ajenas.

Cómo avisar

Escribe a support@alpacto.com con lo que encontraste, cómo repetirlo y qué daño podría causar. Mantén los detalles en privado hasta que lo corrijamos.

Usa tu propia cuenta de prueba en lugar de datos de otras personas. Respondemos en cinco días hábiles y te contamos cómo lo corregiremos.

No podemos prometer plazos de corrección, porque el proyecto tiene un solo responsable.

Nuestra promesa

Si actúas de buena fe y dentro de este alcance, no emprenderemos acciones legales, no te denunciaremos ante las autoridades ni cortaremos tu acceso por tu investigación. Vemos estos avisos como una ayuda.