Redacción de informes de bugs de alta calidad

Un informe de alta calidad pasa por el triaje más rápidamente, tiene menos probabilidades de marcarse como duplicado o meramente informativo, recibe una evaluación precisa de la severidad y fortalece su reputación ante los programas. Los informes deficientes —incluso cuando describen vulnerabilidades críticas— pueden descartarse o recibir una valoración inferior.

Todo informe de calidad incluye: título de la vulnerabilidad, evaluación de la severidad con la justificación de CVSS, activo afectado (URL/endpoint), descripción del problema, pasos detallados para reproducirlo, prueba de concepto, evaluación del impacto y corrección sugerida.

Un buen título es específico e informativo: «IDOR en /api/v2/users/{id} permite que cualquier usuario autenticado acceda a datos privados del perfil» es mejor que «Omisión de la autorización». Incluya en una sola frase el tipo de vulnerabilidad, el endpoint afectado y el impacto.

Escriba los pasos de reproducción de modo que un desarrollador júnior que nunca haya visto este error pueda reproducirlo. Numere cada paso. Incluya las solicitudes HTTP exactas (cópielas de Burp Suite). Incluya también cualquier requisito previo (tipo de cuenta, restricción geográfica u hora del día).

Incluya capturas de pantalla, grabaciones de pantalla o capturas de solicitudes/respuestas HTTP de Burp Suite que demuestren que la vulnerabilidad existe. En el caso de IDOR, muestre cómo la Cuenta A accede a los datos de la Cuenta B mediante la solicitud modificada y cómo la respuesta muestra los datos de B.

Explique claramente el impacto empresarial: «Un atacante puede acceder al nombre completo, el correo electrónico, el número de teléfono y la dirección de facturación de cualquier usuario iterando los identificadores». Cuantifique el impacto cuando sea posible: «La tabla de usuarios contiene 2 millones de registros, todos accesibles». Relacione el impacto técnico con el riesgo empresarial.

Muchos programas utilizan CVSS 3.1 para puntuar la severidad. Aprenda las seis métricas base: AV (vector de ataque), AC (complejidad), PR (privilegios requeridos), UI (interacción del usuario), S (alcance) y C/I/A (impacto). Puntuar CVSS con precisión demuestra experiencia y agiliza el triaje.

Errores habituales en los informes: no adjuntar una PoC, omitir los requisitos previos en los pasos de reproducción, subestimar el impacto (no diga «bajo» cuando se trata de una toma de control de cuenta), describir vulnerabilidades teóricas sin demostrar que son explotables y enviar informes duplicados sin consultar antes los informes publicados.

Pegue la solicitud y la respuesta HTTP exactas (con los datos confidenciales redactados; no incluya PII de otros usuarios más allá de lo necesario). Utilice la función «Copy as curl» de Burp Suite para proporcionar un comando de reproducción de una sola línea que los revisores puedan ejecutar de inmediato.

Responda con rapidez a las preguntas del triaje. Si le piden alguna aclaración, proporciónela en un plazo de 24 a 48 horas. Una comunicación profesional y cortés fomenta relaciones duraderas con los equipos de seguridad y aumenta las posibilidades de recibir reconocimiento por volver a realizar pruebas y recompensas adicionales.

Lea los informes mejor valorados en las páginas de divulgación de HackerOne y Bugcrowd. Estudie cómo los investigadores de élite estructuran sus informes, demuestran el impacto y encadenan vulnerabilidades. Reproduzca su formato y la manera de explicar el impacto en sus propios envíos.

Los informes de vulnerabilidades de alta calidad combinan un título específico, pasos de reproducción claros, una prueba de concepto concreta, una puntuación de CVSS precisa y una evaluación convincente del impacto empresarial. Invertir en la calidad de los informes maximiza las recompensas, construye su reputación y agiliza el triaje para los equipos de seguridad.