Lectura de alcances y reglas de programas de bug bounty

El alcance del programa define exactamente qué activos están autorizados para las pruebas. Lo que está dentro del alcance suele incluir dominios, subdominios, rangos de IP o nombres de paquetes de aplicaciones móviles específicos. Probar cualquier elemento fuera del alcance, aunque esté relacionado, no está autorizado y podría ser ilegal.

El alcance con comodín (*.example.com) incluye todos los subdominios. Las listas explícitas indican dominios específicos (api.example.com, app.example.com). Algunos programas utilizan un alcance basado en ASN que cubre todas las IP del número de sistema autónomo de una empresa, la autorización más amplia posible.

Elementos que suelen estar fuera del alcance: servicios de terceros que utiliza la empresa (Salesforce, Zendesk), empresas adquiridas recientemente que aún no han sido revisadas desde el punto de vista de la seguridad, subdominios específicos con tecnología heredada y ciertos tipos de vulnerabilidades (DoS, fuerza bruta, limitación de velocidad sin impacto demostrable).

El puerto seguro protege de acciones legales a los investigadores de seguridad que actúan de buena fe cuando cumplen las reglas del programa. Lea atentamente el texto del puerto seguro: normalmente exige una divulgación responsable, evitar acceder a más datos de los necesarios para demostrar la vulnerabilidad y no divulgarla públicamente antes de corregirla.

La mayoría de los programas prohíben: el análisis automatizado a altas velocidades (riesgo de DoS), las pruebas en sistemas de producción que almacenan datos reales de usuarios sin permiso explícito, la ingeniería social dirigida a empleados, las pruebas de seguridad física y el acceso a cuentas de usuarios sin consentimiento.

Los programas de bug bounty utilizan niveles de severidad (crítica, alta, media y baja) para determinar las recompensas. HackerOne y Bugcrowd utilizan las Vulnerability Rating Taxonomies (VRT) para clasificar las vulnerabilidades de forma coherente. Comprenda cómo el programa que le interesa puntúa las vulnerabilidades antes de invertir tiempo en la investigación.

Antes de realizar pruebas, lea la política completa, incluidos: los criterios para duplicados (el primer informante recibe el reconocimiento), las condiciones de puerto seguro, el calendario de divulgación, las expectativas de comunicación y cualquier instrucción específica de prueba, como las cuentas de prueba o los entornos de staging proporcionados.

Los programas privados funcionan solo mediante invitación; por lo general, son menos competitivos y ofrecen una mejor relación señal/ruido. Los programas públicos están abiertos a todo el mundo; tienen más competencia, pero también objetivos más diversos. Construya su reputación en programas públicos para recibir invitaciones a programas privados con recompensas más altas.

La Divulgación Coordinada de Vulnerabilidades (CVD) establece un plazo —normalmente de 90 días— para que el proveedor solucione la vulnerabilidad antes de su divulgación pública. Respete ese plazo. Si el proveedor no responde, póngase en contacto con la plataforma del programa. La divulgación pública prematura perjudica a los usuarios y las relaciones con los programas.

Cuando el alcance no sea claro, pregunte mediante las preguntas de envío del programa antes de realizar pruebas. La frase «toda la funcionalidad principal del producto» podría incluir o no los paneles de administración. Aclararlo de antemano evita esfuerzos desperdiciados y posibles infracciones del alcance.

Elija programas que se ajusten a sus habilidades: las habilidades para probar aplicaciones web se corresponden con programas de REST API, la experiencia en móviles con programas específicos para aplicaciones y los conocimientos de redes con recompensas sobre infraestructura. Lea informes publicados recientemente para comprender qué recompensa el programa y qué descarta por tener un impacto bajo.

Comprender el alcance de un programa de bug bounty —los activos incluidos, las actividades prohibidas, las condiciones de puerto seguro, las estructuras de recompensas y los calendarios de divulgación— es esencial antes de comenzar las pruebas. Leer los programas detenidamente evita infracciones del alcance, esfuerzos desperdiciados y riesgos legales.