--- title: Seguridad y reporte de vulnerabilidades — Vexium AI LLC url: https://vexiumai.com/security lang: es description: Quién responde por la seguridad en Vexium AI LLC, qué sistemas cubre, cómo reportar una vulnerabilidad, los plazos de respuesta, las reglas con puerto seguro y las prácticas de seguridad vigentes. updated: 2026-10-09 --- # Seguridad en Vexium AI Quién es responsable de la seguridad en Vexium AI LLC, qué sistemas cubre y cómo reportarnos una vulnerabilidad. La información de contacto legible por máquinas está publicada en https://vexiumai.com/.well-known/security.txt (RFC 9116). Empresa: Vexium AI LLC, Kansas City, MO, Estados Unidos. ## 1. Responsable de seguridad La seguridad en Vexium AI LLC la dirige **Cristian Ramirez, fundador y CEO**. Es el responsable de la seguridad de nuestros productos e infraestructura, lleva el programa de seguridad y es el punto de contacto de seguridad de la empresa para clientes, investigadores y socios. - Contacto de seguridad: security@vexiumai.com - Alternativo: ram@vexiumai.com - LinkedIn: https://www.linkedin.com/in/cristianramirez3/ ## 2. Alcance: sistemas propios Esta política cubre los sistemas que Vexium AI LLC posee y opera: - **vexiumai.com**: este sitio y sus endpoints públicos de solo lectura para agentes (MCP y A2A). - **Vexium CRM, crm.vexiumcore.com**: CRM multiempresa para WhatsApp, Messenger e Instagram. - **Vexium Voice, vexiumvoice.app y sus subdominios**: recepcionista de voz con IA, bilingüe, para teléfono y web. - **Agentes Vexium, bots.vexiumdata.com**: plataforma de agentes conversacionales y los canales de mensajería que opera. Los sistemas que construimos y alojamos para nuestros clientes no están dentro del alcance para pruebas independientes. Pruébalos solo con autorización escrita de ese cliente. Si encuentras algo en uno de ellos, repórtanoslo y nosotros lo coordinamos con el cliente. ## 3. Cómo reportar una vulnerabilidad Escribe a security@vexiumai.com con el sistema o la URL afectada, los pasos para reproducirlo o una prueba de concepto, el impacto tal como lo entiendes y cómo podemos contactarte. Qué esperar: 1. Acuse de recibo en 2 días hábiles. 2. Triage y primer estado en 5 días hábiles: reproducimos el problema, le asignamos severidad y te decimos qué vamos a hacer. 3. Objetivos de remediación por severidad: crítica en 7 días, alta en 30, media y baja en 90. 4. Cierre: te avisamos cuando el arreglo está en producción y te damos crédito público si lo quieres. Hoy no tenemos un programa de recompensas de pago. Sí damos las gracias, arreglamos lo que encuentres y te damos crédito si lo deseas. ## 4. Reglas y puerto seguro Buena fe significa probar solo con cuentas y datos tuyos o creados para la prueba, detenerte en cuanto confirmes una vulnerabilidad y reportarla pronto, y darnos un tiempo razonable para corregir antes de cualquier publicación (nuestro objetivo es 90 días como máximo). No permitido: denegación de servicio, agotamiento de recursos o spam contra cualquiera de nuestros sistemas o números de teléfono; ingeniería social contra nuestro equipo, nuestros clientes o los clientes de ellos; acceder, modificar, borrar o descargar datos que no sean tuyos (si encuentras datos personales, detente y repórtalo); saltar desde nuestros sistemas a sistemas de terceros, incluidos los de nuestros clientes y proveedores. Puerto seguro: consideramos autorizada la investigación que sigue esta política, y no iniciaremos ni apoyaremos acciones legales en tu contra por ella. Si un tercero inicia acciones contra ti por una investigación que cumplió esta política, haremos constar que actuaste conforme a ella. ## 5. Cómo protegemos nuestros sistemas Esto es lo que hacemos hoy. No es una certificación, y lo mantenemos al día conforme crece el programa. - Auditorías internas periódicas de nuestro propio código: autenticación, autorización, seguridad a nivel de fila en la base de datos, inyección y secretos, con hallazgos por severidad y remediación con seguimiento. - Secretos fuera del código fuente, escaneo de secretos antes de publicar código y tokens de terceros guardados cifrados. - Cloudflare con reglas de firewall administradas y límites de peticiones delante de nuestro CRM; webhooks firmados y límites por token en nuestros endpoints de mensajería y voz; HTTPS y cabeceras de seguridad en todo. - Aislamiento entre clientes aplicado en la base de datos y revisado en cada auditoría, para que los datos de un cliente nunca se mezclen con los de otro. - Monitoreo de dependencias y parcheo rápido de los frameworks sobre los que corremos. - Un responsable con nombre para los incidentes, y aviso a los clientes sin demora indebida cuando sus datos se ven afectados. ## 6. Trabajo de seguridad reciente - Junio y agosto de 2026: dos auditorías internas de seguridad de un sistema de reservas de renta de autos que construimos y operamos: autenticación, seguridad a nivel de fila en Postgres, límites de peticiones e inyección de HTML en correos. Los hallazgos se clasificaron por severidad, se corrigieron y las correcciones se verificaron contra producción. - Septiembre de 2026: cierre de una API de integración sin autenticación en un ERP de renta que operamos, y endurecimiento de su inicio de sesión y manejo de sesiones, validado con 53 pruebas de regresión. - Octubre de 2026: auditoría de seguridad fase 1 de Vexium CRM (aislamiento entre clientes, SSRF, OAuth y firmas de webhooks) con correcciones integradas y avisos de dependencias llevados a cero; auditoría de una API pública de cotización (límites de peticiones, inyección de fórmulas, aviso de privacidad). - Continuo: pruebas adversariales de nuestros chatbots (inyección de prompt y exfiltración de datos), escaneo de secretos antes de publicar código y reglas de firewall contra escáneres automáticos en nuestros endpoints públicos. ## 7. security.txt y actualizaciones La información de contacto legible por máquinas de esta política está publicada en https://vexiumai.com/.well-known/security.txt, siguiendo el RFC 9116. Esta página se revisa al menos una vez al año. El archivo security.txt vence el 1 de octubre de 2027 y se renueva antes de esa fecha. Relacionado: Política de privacidad (https://vexiumai.com/politica), Condiciones del servicio (https://vexiumai.com/condiciones), Eliminación de datos (https://vexiumai.com/eliminacion-datos).