Objetivo de un programa Bug Bounty
Un programa Bug Bounty proporciona a los investigadores de seguridad un canal estructurado para informar vulnerabilidades de forma responsable.
Un programa bien diseñado puede ayudar a una plataforma a identificar debilidades de seguridad antes de que puedan ser explotadas por actores maliciosos.
Divulgación responsable
Los investigadores deben informar las vulnerabilidades de forma privada a través del canal oficial de reporte de seguridad y proporcionar información suficiente para que el equipo de seguridad pueda reproducir, analizar y evaluar el problema.
Cualquier divulgación pública debe realizarse de acuerdo con las reglas vigentes del programa y con el calendario de divulgación acordado.
Qué debe incluir un informe
Un informe de vulnerabilidad útil normalmente debe incluir una descripción clara del problema, el componente afectado, los pasos para reproducirlo, el impacto de seguridad, una prueba de concepto (Proof of Concept, PoC) cuando corresponda y cualquier condición necesaria para reproducir el problema.
Los investigadores deben evitar recopilar, acceder o exponer datos de usuarios que no sean necesarios para validar la vulnerabilidad.
Hallazgos potencialmente elegibles
Dependiendo del alcance oficial del programa, los hallazgos elegibles pueden incluir vulnerabilidades que afecten a la autenticación, autorización, exposición de datos sensibles, integridad de las transacciones, seguridad de la API u otras funciones críticas de seguridad.
El alcance exacto debe definirse de acuerdo con la política vigente del programa Bug Bounty de 4M.
Problemas fuera del alcance
Los programas Bug Bounty suelen excluir determinados tipos de problemas, como versiones no compatibles, ingeniería social, pruebas de denegación de servicio (DoS) que puedan afectar a los usuarios o hallazgos sin un impacto de seguridad significativo.
Sin embargo, los investigadores deben seguir las exclusiones específicas publicadas oficialmente por 4M en lugar de basarse únicamente en prácticas generales del sector.
Conducta de los investigadores
Las pruebas de seguridad deben realizarse de forma controlada y no deben dañar intencionadamente los sistemas, acceder a datos de usuarios no relacionados con la prueba, interrumpir los servicios ni manipular activos reales de los usuarios.
Si una prueba pudiera afectar a usuarios del entorno de producción, el investigador debe detenerla y solicitar orientación a través del canal oficial de divulgación de vulnerabilidades.
Recompensas y Safe Harbor
Los importes de las recompensas, los criterios de elegibilidad, las disposiciones de Safe Harbor y los plazos de divulgación solo deben publicarse cuando hayan sido confirmados oficialmente por 4M.
No deben inferirse las condiciones de 4M a partir de los programas Bug Bounty de otros exchanges o plataformas.
Aviso importante
Esta página describe la estructura y los principios de la divulgación responsable de vulnerabilidades de seguridad.
Salvo que 4M publique expresamente dicha información en una comunicación oficial de seguridad, esta página no afirma ni implica que exista actualmente un programa Bug Bounty específico de 4M, una tabla de recompensas, un alcance determinado o un compromiso de Safe Harbor vigente.