Bug bounty
Encuentra un agujero en nuestra valla. Te lo agradeceremos, y te pagaremos.
Ningún sistema es perfecto, tampoco el nuestro. Si encuentras un punto débil de seguridad en nuestra web o en los servicios que gestionamos, cuéntanoslo antes que a nadie. Lo corregiremos rápido, te mantendremos informado y recompensaremos los hallazgos que resulten reales.
- Recompensas por hallazgos válidos
- Sin acciones legales por investigar de buena fe
- Tu reporte es confidencial
- Reportes en árabe o en inglés
De tu reporte a tu recompensa
Lo reportas
Escribe a security (at) ultaria.com con lo que has encontrado
Lo confirmamos
Intentamos responder en un plazo de tres días laborables
Lo corregimos
Y te avisamos cuando esté hecho
Recibes tu recompensa
Según la gravedad, una vez validado el hallazgo
Reglas básicas, para ambas partes
La divulgación responsable funciona cuando ambas partes cumplen su palabra. Esta es la nuestra, y esto es lo que te pedimos.
Avísanos primero, y pronto
Reporta un posible punto débil en cuanto lo encuentres. Cuanto antes lo sepamos, antes quedará cerrado.
Danos tiempo para corregirlo
Mantén los detalles en privado hasta que confirmemos la corrección. Por favor, no los compartas públicamente ni con nadie antes de eso.
Usa tus propias cuentas
Haz pruebas solo con cuentas y datos que te pertenezcan. No leas, cambies ni borres nada que pertenezca a otra persona.
Sin suplantaciones
No te hagas pasar por nuestro personal, por un cliente o por otro investigador, y no intentes engañar a nuestro equipo. La ingeniería social no forma parte de este programa.
No iremos contra ti
Si sigues estas reglas y actúas de buena fe, no emprenderemos acciones legales contra ti por tu investigación.
Queda entre nosotros
Tu reporte es confidencial. No compartimos tus datos personales con nadie sin tu consentimiento, salvo que la ley lo exija.
Qué tiene recompensa
Un reporte cumple los requisitos cuando:
- Eres la primera persona en reportar el punto débil.
- Incluyes una prueba de concepto que funciona, o pasos claros para reproducirlo.
- Afecta a un sistema incluido en el programa: ultaria.com, sus subdominios o un servicio que operamos nosotros mismos.
- Has seguido las reglas de esta página mientras lo buscabas.
- No se ha hecho público antes de que lo corrijamos.
- Podemos pagarte legalmente en el país donde vives.
Recompensas que siguen al riesgo
Las recompensas se pagan en dinero o como crédito en servicios de Ultaria, como prefieras. Cuando nuestros expertos validan el hallazgo, proponemos una cantidad acorde con su gravedad. Si te parece injusta, la evalúa un tercero independiente que acordamos entre los dos.
La gravedad marca la recompensa
Un punto débil que expone datos de clientes o da el control de un sistema se recompensa más que uno de efecto limitado.
Reconocimiento a quien lo merece
Con tu permiso, te damos las gracias con tu nombre en esta página cuando la corrección esté publicada.
Una recompensa por punto débil
Si varias personas reportan el mismo punto débil, se recompensa el primer reporte completo.
Una segunda opinión sobre la cantidad
¿No estás conforme con la cantidad? Acordamos contigo un experto en seguridad independiente, que revisa el hallazgo y recomienda una recompensa justa. Pagamos lo que recomiende.
Fuera del programa
No recompensamos lo siguiente, y puede que no respondamos a los reportes sobre ello.
Ataques a personas e instalaciones
Ingeniería social y phishing, y ataques físicos a oficinas, centros de datos o equipos.
Cualquier cosa que interrumpa el servicio
Ataques de denegación de servicio, fuerza bruta de cualquier tipo y enumeración de usuarios por fuerza bruta.
Resultados de escáneres
Reportes generados con herramientas automáticas sin un exploit demostrado que funcione.
Software y sistemas de terceros
Fallos en software de terceros o de código abierto, incluidos WordPress y sus plugins, y manipulación de lo que se envía a las pasarelas de pago. Repórtalos a sus responsables. Nosotros hacemos lo mismo. Código abierto
Las webs de nuestros clientes
Webs, servidores y aplicaciones que los clientes tienen en nuestra plataforma. Pertenecen al cliente, y probarlos requiere su permiso.
Solo cabeceras y configuraciones
Cabeceras de seguridad o atributos de cookies que faltan, clickjacking, configuraciones de SPF, DKIM, DMARC o SSL, números de versión, listados de directorios y direcciones IP de servidores, cuando no llevan directamente a un punto débil.
Problemas web de bajo impacto
Self-XSS, CSRF sin efecto real, redirecciones abiertas, inyección de texto en páginas de error, ataques homógrafos, problemas de caché y fallos del navegador.
Ajustes de cuenta
Reglas de contraseñas, duración de las sesiones, robustez del CAPTCHA, ausencia de límites de intentos, reutilización de códigos de un solo uso y cualquier cosa que requiera acceso al dispositivo de la víctima.
Escribe un reporte con el que podamos trabajar
- 1
Di qué has encontrado
La dirección o el sistema afectado, y el tipo de punto débil.
- 2
Muestra cómo
Pasos que podamos seguir, o una prueba de concepto. Las capturas de pantalla o un vídeo corto ayudan.
- 3
Di qué podría provocar
A qué podría acceder o qué podría cambiar un atacante.
- 4
Dinos cómo contactarte
Y el nombre con el que te gustaría aparecer, si quieres.
Envía tu reporte aquí
Llega directamente a nuestro equipo de seguridad. ¿Necesitas compartir capturas o un vídeo? Envía primero el reporte y te responderemos con una forma segura de compartirlos.
Lo que preguntan los investigadores
¿Cuánto pagan?
Depende de la gravedad, así que no publicamos una tabla. Conocerás la cantidad cuando nuestros expertos validen el hallazgo. Si no estás de acuerdo, un tercero independiente que acordamos entre los dos lo revisa y fija una cantidad justa.
¿Quién es el tercero independiente?
Un profesional o una empresa de seguridad para la que no trabaja ninguno de los dos, elegido conjuntamente para cada caso. Ve el reporte y nuestra evaluación, y recomienda la recompensa.
¿Cuánto tardan en responder?
Intentamos confirmar que hemos recibido tu reporte en un plazo de tres días laborables, y mantenerte al tanto hasta que la corrección esté publicada.
¿Puedo publicar mis hallazgos?
Sí, después de que confirmemos la corrección. Estaremos encantados de acordar contigo el momento y la redacción.
Soy cliente. ¿Puedo reportar algo yo también?
Sí. Se aplican las mismas reglas y recompensas, y reportar un punto débil nunca cuenta en contra de tu cuenta.
¿Y si no estoy seguro de que sea un punto débil real?
Envíalo igualmente, con lo que hayas observado. Preferimos leer diez reportes que al final no sean nada antes que pasar por alto el que importa.
Bug bounty
¿Has encontrado algo? Cuéntanoslo antes que a nadie.
Escribe a security (at) ultaria.com, en árabe o en inglés. Leemos cada reporte.