docs/SECURITY.md

# Seguridad — Sistema Experto PPT v4.0.3

## Arquitectura

La versión pública es `skills-only` y no contiene MCP, backend, API, autenticación, almacenamiento, pagos ni telemetría del publicador. Su superficie técnica propia se limita a instrucciones, contratos JSON, referencias y activos estáticos.

## Controles

- clasificación y minimización antes del procesamiento;
- bloqueo de secretos y datos restringidos no autorizados;
- aislamiento de instrucciones incrustadas y prompt injection;
- consentimiento antes de investigación web;
- Presentations como motor exclusivo de producción;
- trazabilidad de herramientas, fuentes, imágenes y licencias;
- inspección de notas, texto oculto, propiedades y metadatos;
- cero hallazgos críticos o mayores abiertos para liberar.

## Reporte

Reportar vulnerabilidades a heinz.soluciones@gmail.com con el asunto **“SEGURIDAD — Sistema Experto PPT”**. No incluir secretos ni archivos confidenciales. Indicar versión, pasos mínimos, impacto y evidencia desidentificada.

## Respuesta

Los reportes se evaluarán por severidad. Cuando exista riesgo material se detendrá la distribución afectada, se preservará evidencia mínima, se corregirá la causa y se publicará una versión de remediación. La comunicación de un reporte no crea por sí sola un programa de recompensas ni un SLA comercial.