Un programa de bug bounty es una promesa pública: notifique una vulnerabilidad según estas reglas y recibirá un trato justo y cobrará. Los programas fracasan cuando la promesa se hace antes de que la organización pueda cumplirla. Los informes se acumulan sin respuesta, los duplicados y los resultados de los escáneres sepultan los hallazgos válidos y los investigadores se van a programas que sí responden.
Conocemos los programas desde el lado del investigador, porque nosotros mismos buscamos vulnerabilidades en ellos. Preparamos el suyo para que atraiga a las personas que usted quiere: un alcance que merezca su tiempo, reglas que las protejan, recompensas acordes con el impacto y respuestas que llegan cuando se prometieron.
01Alcance
Qué ponemos a prueba
Revisión de preparación: si los problemas conocidos se pueden corregir antes de que los encuentren los investigadores
Política del programa: reglas de las pruebas, exclusiones, condiciones de divulgación, puerto seguro
Definición del alcance y ampliación por etapas de privado a público
Tabla de recompensas vinculada a la gravedad y al valor del activo
Elección de la plataforma o un programa autoalojado cuando no se quiere una plataforma
Triaje: reproducción, deduplicación, valoración de la gravedad, filtrado de informes automatizados
Comunicación con los investigadores, incluidas las discrepancias sobre la gravedad y la recompensa
Traspaso a ingeniería: tickets con los pasos para reproducir el problema y orientación para la corrección
Métricas: tiempo de respuesta, tiempo de corrección, gasto en recompensas, calidad de los informes recibidos
02Enfoque
Cómo se realiza el trabajo
01
Preparación
Antes de anunciar nada, probamos el alcance nosotros mismos. Los problemas que cualquier investigador encontraría en la primera semana se corrigen primero, para que las recompensas se paguen por lo que es difícil de encontrar.
02
Diseño
La política, el alcance y la tabla de recompensas se redactan con sus equipos de seguridad, jurídico y financiero. El texto del puerto seguro sigue la redacción que reconoce la comunidad de investigadores.
03
Lanzamiento privado
El programa se abre a un grupo limitado de investigadores invitados. Los procesos se ajustan con un volumen de informes manejable.
04
Gestión
Examinamos cada informe, lo reproducimos, lo valoramos y pasamos los hallazgos confirmados a sus ingenieros. Los investigadores reciben una respuesta en el plazo indicado en la política.
05
Ampliación
El alcance y el público crecen cuando las cifras muestran que la organización mantiene el ritmo: tiempos de respuesta cumplidos, correcciones entregadas, presupuesto bajo control.
Depende de dónde estén sus investigadores, de qué jurisdicciones y vías de pago necesite y de qué parte de la gestión quiera que asuma la plataforma. Una de las opciones es nuestra propia plataforma. La comparamos con las demás según los mismos requisitos, lo decimos abiertamente y no cobramos comisión de ninguna otra plataforma.
¿Buscan vulnerabilidades en los programas que gestionan?
No. Gestionar un programa y cobrar recompensas de él es un conflicto de intereses. Nuestros especialistas no envían informes a programas que gestionamos o que hemos preparado.
¿Estamos preparados para un programa público?
Si no ha hecho nunca una prueba de penetración, no. Empiece con una prueba y un programa privado. Un lanzamiento público sobre un alcance sin probar paga recompensas altas por hallazgos que una evaluación a precio fijo habría aportado.
¿Cómo tratan los informes generados con herramientas de IA?
Cada informe se reproduce antes de aceptarlo. Un informe que no se puede reproducir se cierra con una explicación, independientemente de quién o qué lo haya escrito. La política lo indica, lo que desalienta esos envíos desde el principio.
Un canal público y un proceso que funciona para los informes de vulnerabilidades que llegan de fuera: política, security.txt, recepción, triaje y divulgación coordinada.