ADR-074 — Vulnerability disclosure

Architecture decision record — status: Accepted.

Source: docs/adr/ADR-074-vulnerability-disclosure.md

ADR-074: Vulnerability disclosure

Estado

Accepted — 2026-08-23

Decisión

Canal: email security@ del dominio cuando exista; hasta entonces el maintainer del repo (no issues públicos con exploit).
Texto: docs/security/DOC-029-vulnerability-disclosure.md + SECURITY.md en raíz.
No bug bounty en V1.
Secrets leak: rotar (ADR-015) + audit.

No publicar PoC de exploit en el changelog (user).