Un desconocido me pidió 100 € por "arreglar" un fallo de seguridad. Esto es lo que aprendí de verdad

Alguien me escribió por privado diciendo que había encontrado una vulnerabilidad de seguridad en mi SaaS.

Enseñó una captura, mencionó SPF y DMARC, y pidió 100 € por darme los detalles.

No parecía una emergencia, pero sí lo bastante serio como para comprobarlo.

Así que hice lo aburrido.

Lo verifiqué.

No era una vulnerabilidad crítica. No era un exploit. Era una política DMARC estricta que faltaba.

¿Un problema real? Sí. ¿Una emergencia? No.

Lo arreglé en minutos.

Pero la lección de verdad no iba de DMARC.

La lección de verdad iba de estructura.

Me di cuenta de que si no defines con claridad cómo se deben reportar los problemas de seguridad, la gente va a intentar convertir un mensaje privado en un canal de negociación: con urgencia, presión y dinero incluidos.

Ese es un mal sitio para tomar decisiones.

Así que hice tres cosas de inmediato:

1. Arreglé la configuración de correo (DMARC).
2. Publiqué una política de seguridad pública y sencilla.
3. Añadí un archivo security.txt que deja claro:
   • cómo se deben reportar las vulnerabilidades
   • qué entra en el alcance y qué no
   • que no negociamos temas de seguridad por mensaje privado
   • y que por ahora no hay recompensas económicas

Ahora no hay ambigüedad. No hay improvisación. No hay negociaciones por privado.

La seguridad de un SaaS temprano no empieza con bug bounties ni con pánico. Empieza con lo aburrido y con reglas escritas.

La mayoría de los sustos de seguridad no vendrán de exploits complejos. Vendrán de la falta de estructura.

Arregla lo aburrido pronto. Y asegúrate de que los mensajes privados no marquen tus reglas.