Seguridad

No publicar vulnerabilidades con instrucciones explotables, tokens, JSON de cuenta de servicio, claves de cifrado, datos personales o capturas de cuentas reales. Si la opción privada de reporte de vulnerabilidades de GitHub está habilitada para este repositorio, usarla; de lo contrario, contactar a sus responsables por un canal privado ya establecido. No hay dirección de seguridad ni plazo de respuesta verificados en el árbol: no se promete un SLA.

Incluir versión o commit, componente, impacto, pasos mínimos de reproducción con datos sintéticos y entorno afectado. Evitar probar contra cuentas ajenas o servicios reales sin autorización. Para errores ordinarios sin información sensible, seguir el proceso de contribución.

Las credenciales Admin y BILLING_ENCRYPTION_KEY pertenecen solo al servidor y a secretos gestionados. Los valores VITE_* son públicos. Firebase Auth identifica usuarios; los claims administrativos, reglas Firestore y comprobaciones del servidor controlan permisos. Las credenciales de cliente Firebase incluidas en JSON no reemplazan reglas de acceso.

Ante exposición de un secreto, avisar por el canal privado, revocar o rotar en el proveedor con autorización y revisar el alcance. Borrar un archivo o commit no revoca una credencial. La rotación de la clave de facturación requiere tratar los valores comerciales ya cifrados; no publicar material sensible al documentar el incidente.

La revisión documental no despliega Functions ni acredita el estado de producción. Véanse configuración, diagnóstico y mantenimiento. No hay matriz de versiones soportadas ni programa de recompensas definidos en este repositorio.