Mayor de edad
Tiene al menos 18 años.
Identidad verificada
Antes del primer pago verificamos su identidad. Su nombre no se comunica al propietario de un programa sin su consentimiento, salvo que actúe fuera de las reglas o que la ley lo exija.
Sin sanciones
Se deniegan los pagos a personas sujetas a sanciones vinculantes en la Unión Europea y a las cuentas sujetas a ellas.
Independiente
No trabaja para el propietario del programa ni ha trabajado en el sistema sobre el que envía el informe.
Encuentre vulnerabilidades y cobre por ellas de forma oficial
Programas de propietarios verificados, permiso por escrito para probar y una recompensa pagada por transferencia bancaria con documentos. La recompensa íntegra es suya: la comisión la paga el propietario.
01Condiciones
Quién puede participar
02Pasos
Del registro a la recompensa
Registro
Usted envía el formulario de esta página y acepta las condiciones. Respondemos en el plazo de 1 día hábil.
Programa
Usted elige un programa y lee su alcance, sus exclusiones y sus reglas.
Investigación
Usted prueba lo que está dentro del alcance, con sus propias cuentas, y se detiene en la demostración.
Informe
Usted envía el informe por el canal de la plataforma. Lo examinamos en el plazo de 5 días hábiles desde su recepción.
Recompensa
El propietario decide la recompensa en el plazo de 10 días hábiles desde la recepción del informe. La pagamos en el plazo de 10 días hábiles desde la decisión.
03Informe
Un informe que se paga
Se paga una recompensa por una vulnerabilidad que podemos reproducir.
- La dirección y el parámetro o el componente afectado
- Los pasos para reproducir la vulnerabilidad desde un estado limpio
- Lo que podría conseguir un atacante
- Las evidencias: peticiones, respuestas, capturas de pantalla, sin datos de otras personas
- Su evaluación de la gravedad en la escala CVSS 4.0, si la tiene
04Pago
Cómo se paga una recompensa
La recompensa íntegra
Recibe el importe íntegro que ha decidido el propietario. No retenemos nada: nuestra comisión la paga el propietario.
Quién puede cobrar
Los investigadores residentes en Estonia a efectos fiscales cobran como empresarios individuales o a través de una empresa. Los residentes en otros países también pueden cobrar como particulares cuando realicen la investigación fuera de Estonia.
Por transferencia bancaria
En euros, en el plazo de 10 días hábiles desde la decisión, a una cuenta a su nombre o a nombre de su empresa.
Con documentos
Una empresa nos factura la recompensa. Un particular recibe de nosotros un documento que indica el programa, el informe y el importe.
Impuestos
Usted o su empresa pagan los impuestos sobre la recompensa donde corresponda.
Comunicación a la administración tributaria
Conforme a las normas de la UE para plataformas (DAC7), comunicamos una vez al año a la Administración de Impuestos y Aduanas de Estonia las recompensas pagadas a investigadores residentes en la Unión Europea, con los datos que los identifican. Le mostramos esos datos antes de comunicarlos.
05Preguntas
Lo que preguntan los investigadores
¿Y si alguien ha notificado la vulnerabilidad antes que yo?
Se recompensa el primer informe. Usted recibe una respuesta que indica que su informe es un duplicado.
¿Y si no estoy de acuerdo con la valoración?
Escriba por qué. Volvemos a examinar el informe y respondemos con argumentos. Esa valoración es definitiva.
¿Puedo publicar lo que he encontrado?
Después de la corrección y con el consentimiento por escrito del propietario. No antes.
¿Pueden emprender acciones contra mí por la investigación?
El propietario de cada programa autoriza la investigación dentro de sus reglas y se compromete a no emprender acciones contra los investigadores que las cumplen. El compromiso no cubre lo que se hace fuera de las reglas.
¿Tengo que dar mi nombre real?
A nosotros, antes del primer pago: una recompensa no se puede pagar a una persona desconocida. En los informes y en los agradecimientos aparece con el nombre que usted elija.
06Registro
Registrarse como investigador
- Respuesta en el plazo de 1 día hábil
- La recompensa íntegra es suya
- Pago en el plazo de 10 días hábiles desde la decisión
- Su nombre se queda con nosotros mientras cumpla las reglas
Solicitud recibida
Referencia
Conserve la referencia: la citamos en todas las comunicaciones posteriores con usted.
Qué ocurre a continuación
- Revisamos la solicitud y respondemos en el plazo de 1 día hábil.
- Recibe las reglas y el canal para enviar los informes.
- Antes del primer pago verificamos su identidad y le preguntamos quién recibe la recompensa y en qué cuenta.
En la primera respuesta nunca pedimos pagos, contraseñas ni acceso remoto.