Seguridad y Divulgación Responsable

Introducción

Devutilities es una caja de herramientas para developers gratuita y 100% del lado del cliente. Cada herramienta se ejecuta íntegramente en tu navegador; el sitio en producción usa la misma infraestructura Next.js que encontrarías en cualquier SaaS moderno, y tratamos los reportes de seguridad con el mismo rigor.

Dentro del alcance

• Cross-site scripting (XSS) en entradas o salidas de las herramientas.
• Server-side request forgery (SSRF) en herramientas de red (REST Tester, Redirect Checker, DNS Lookup, SSL Checker).
• Open redirect a través de URLs compartibles generadas.
• Prototype pollution o deserialización insegura en formateadores de JSON, YAML, XML o INI.
• Subdomain takeover, dominios expirados o registros DNS colgantes en *.devutilities.dev.
• Credenciales o PII capturadas accidentalmente por el endpoint RUM (/api/track).

Fuera del alcance

• Denegación de servicio contra el propio Devutilities (es estático y rate-limited upstream).
• Vulnerabilidades en librerías de terceros (reporta upstream al maintainer).
• Cookies, fingerprinting o tracking cross-site (Devutilities no usa cookies).
• Problemas teóricos que requieren una configuración improbable para explotarse.
• Problemas reproducibles solo en versiones de navegador no soportadas.

Cómo reportar

Abre un advisory de seguridad privado en GitHub o envía un reporte cifrado por email a collandev@gmail.com.

Nuestro objetivo es hacer un triaje de los nuevos reportes en 48 horas de forma best-effort. Los problemas críticos suelen atenderse en unos pocos días laborables.

Gracias

Gracias por ayudar a mantener Devutilities seguro para todos sus usuarios. Acreditamos a quien reporta en el changelog salvo que pida lo contrario.