Español
Deutsch
English
Français
Italiano
Português
Русский
العربية
हिन्दी
日本語
简体中文
Android
iOS
Mac
Windows
Reportar
Envía un correo electrónico a . Describe el activo afectado, los pasos de reproducción y el impacto realista. Cuanto más preciso sea tu reporte, más rápido podremos revisarlo.
Programa de divulgación de vulnerabilidades ¿Has encontrado una vulnerabilidad?
¿Has encontrado una vulnerabilidad?
Avísanos primero.
Revisamos todos los reportes creíbles. Hall of Fame primero; se puede considerar un pago voluntario de reconocimiento caso por caso.
Nuestro enfoque
La seguridad es trabajo en equipo.
Los investigadores de seguridad no son adversarios. A menudo son los primeros en detectar vulnerabilidades reales. Te tratamos con respeto: respuestas honestas, condiciones claras y reconocimiento justo. Este es un Programa de divulgación de vulnerabilidades con posible reconocimiento en la Hall of Fame y pequeños pagos de reconocimiento opcionales tras una revisión caso por caso. No es un programa bug bounty tradicional con pagos fijos o garantizados.
Apple acredita a nuestro fundador Chris Bohn por su nombre en una actualización de seguridad oficial por una vulnerabilidad del kernel reportada en OS X (CVE-2013-1029). Sabemos de primera mano cuánto trabajo requiere un buen reporte y lo importante que es un trato justo. Fuente: support.apple.com/en-us/103517
Cómo funciona Paso 01 Paso 02 Paso 03
Del reporte a la corrección en tres pasos.
Sin burocracia. Sin formularios. Sin procesos ocultos.
Evaluación inicial
Revisamos los reportes creíbles y normalmente respondemos en pocos días hábiles. Si hay retrasos, te mantendremos informado.
Corrección y reconocimiento
Las correcciones se priorizan según la gravedad. Los hallazgos elegibles y validados pueden acreditarse en nuestra Hall of Fame. Para vulnerabilidades de producto adecuadas, revisamos la coordinación CVE.
RFC 9116
security.txt
¿Usas un escáner o revisas /.well-known/security.txt? Has llegado al lugar correcto.
# https://www.protectstar.com/.well-known/security.txt Contact: mailto:security@protectstar.com Encryption: https://www.protectstar.com/security/pgp.asc Policy: https://www.protectstar.com/security Acknowledgments: https://www.protectstar.com/security/acknowledgments Preferred-Languages: en, de Canonical: https://www.protectstar.com/.well-known/security.txt Canonical: https://protectstar.com/.well-known/security.txt Expires: 2027-05-19T23:59:59Z
Alcance
Qué está dentro del alcance.
Empezamos con un alcance deliberadamente limitado para que nuestro equipo pueda revisar cada reporte en profundidad. Los reportes sobre apps y APIs son bienvenidos, pero se revisarán caso por caso.
Dentro del alcance
- www.protectstar.com & protectstar.com Áreas públicas del sitio web operadas directamente por Protectstar
- Mecanismos de integridad de actualizaciones y descargas documentados públicamente Firmas y hashes alojados en la infraestructura de Protectstar
- Metadatos publicados de integridad de archivos Publicado en protectstar.com
- Subdominios adicionales Solo cuando estén listados explícitamente o confirmados por escrito por nosotros
Fuera del alcance
- Sistemas y servicios de terceros Proveedores de tienda y pagos, app stores, CDN/hosting, motores externos, SDKs y servicios de partners
- APIs, servidores de licencia/activación y sistemas internos que no hayan sido confirmados explícitamente
- Ingeniería social & phishing Acciones dirigidas a empleados, soporte o partners
- DoS / DDoS / pruebas de volumen
- Ataques físicos
- Self-XSS y cabeceras de mejores prácticas ausentes sin impacto
- Versiones beta / TestFlight / preliminares
Apps, APIs backend, software de escritorio: Los reportes son bienvenidos, pero no están automáticamente dentro del alcance ni son automáticamente elegibles para reconocimiento. Revisamos cada reporte caso por caso.
Safe Harbor
Investiga de buena fe. Te trataremos de forma justa.
Si realizas investigación de seguridad de buena fe, dentro de esta política y exclusivamente sobre activos listados explícitamente como dentro del alcance o confirmados por escrito por nosotros, consideramos esa investigación autorizada. Protectstar no iniciará ni apoyará acciones legales por dicha investigación en la medida en que las reclamaciones estén bajo nuestro control.
Requisitos
- No explotar más allá de lo necesario para demostrar la vulnerabilidad
- No divulgar la vulnerabilidad a terceros antes de una corrección
- No exfiltrar, modificar, eliminar, almacenar ni compartir datos que no te pertenezcan. Usa cuentas de prueba siempre que sea posible
- No publicar ni divulgar sin coordinación previa y aprobación por escrito; 90 días es nuestra guía, no una autorización automática
- No causar interrupción intencional del servicio ni destrucción de datos
- Cumplir las leyes aplicables a ti, a tu investigación y a los sistemas afectados
Si ves accidentalmente datos que no te pertenecen, detente de inmediato. No accedas, copies, modifiques, elimines, almacenes ni compartas esos datos, y reporta solo la información mínima necesaria para la verificación. Esta garantía se aplica exclusivamente a reclamaciones bajo el control de Protectstar y no autoriza ninguna conducta prohibida por la ley. No se extiende a actividades contra sistemas, servicios, redes o datos de terceros, y no impide acciones independientes de terceros. En caso de duda: pregunta antes, no después.
Reconocimiento
Hall of Fame primero. Pequeños pagos de reconocimiento caso por caso.
Protectstar no opera un programa bug bounty tradicional con pagos fijos o garantizados. Nuestro enfoque está en una revisión justa, una remediación coordinada y un posible reconocimiento en la Hall of Fame para reportes que cumplan nuestros requisitos. Además, Protectstar puede, a su entera discreción, ofrecer un pequeño pago monetario voluntario de reconocimiento por reportes especialmente útiles, validados, previamente desconocidos y dentro del alcance. No existe derecho a pago; cualquier decisión de conceder un pago, y su importe, se toma únicamente después de validar el reporte técnico completo.
Requisitos para un posible reconocimiento en la Hall of Fame
- Válido y documentado de forma reproducible
- Previamente desconocido y no ya en revisión interna
- Dentro del alcance según las áreas listadas arriba
- Enviado primero (cuenta la primera persona que lo reporta)
- Reportado sin violar esta política
- Materialmente relevante para la seguridad de Protectstar o de nuestros usuarios
- Sin amenazas ni exigencias de pago antes, durante o después del reporte
Clasificación de la gravedad
La gravedad influye en la prioridad de la corrección y en el posible reconocimiento. La Hall of Fame sigue siendo nuestra forma principal de reconocimiento.
| Severity | Ejemplos comunes | Reconocimiento posible |
|---|---|---|
| Crítica | Ejecución remota de código, bypass de autenticación, fuga masiva de datos, compromiso de integridad de actualización | Hall of Fame; puede considerarse un pequeño pago voluntario de reconocimiento tras una revisión caso por caso |
| Alta | Escalada de privilegios, debilidades criptográficas con impacto, toma de control de cuenta | Hall of Fame; puede considerarse un pequeño pago voluntario de reconocimiento tras una revisión caso por caso |
| Media | XSS almacenado, IDOR con impacto demostrable, problemas de sesión | Hall of Fame; puede considerarse un pequeño pago opcional de reconocimiento por un impacto claro y reproducible |
| Baja | XSS reflejado con impacto limitado, divulgación de información sin consecuencias | Normalmente Hall of Fame o agradecimiento; reconocimiento monetario solo en casos excepcionales |
La gravedad se evalúa usando CVSS 4.0 o CVSS 3.1 como guía. Protectstar realiza la evaluación final; podemos explicar por escrito las evaluaciones discrepantes previa solicitud. No negociamos importes antes de recibir y validar el reporte técnico completo.
Tiempos de respuesta
Nuestros plazos objetivo.
Somos un equipo pequeño, no un SOC 24/7. Estos números son nuestros objetivos. Si hay retrasos, te lo comunicaremos.
3 días hábiles Acuse de recibo (objetivo)
10 días hábiles Evaluación técnica inicial (objetivo)
90 días Divulgación coordinada (objetivo)
Cifrado
Clave PGP.
Para detalles sensibles de vulnerabilidades, puedes cifrar tu reporte.
Huella digital
B8DB 47D7 DBE5 DD63 7C65 80E0 3513 CE31 BD10 B7AD
ID de clave
0x3513CE31BD10B7AD
Identidad
PROTECTSTAR Support Hero
< >
< >
Esta clave está actualmente asociada con y autorizada por Protectstar para comunicación cifrada con .
Descargar clave Hall of Fame
Quién nos ha ayudado.
Investigadores de seguridad que han usado nuestro programa de forma responsable y ayudado a que nuestros productos sean más seguros.
Aún no hay entradas.
Nuestro programa acaba de lanzarse. Los reportes que cumplan nuestros requisitos podrán acreditarse aquí.
Preguntas frecuentes
Antes de preguntar.
Investigar de buena fe significa seguir esta política, demostrar una vulnerabilidad sin explotarla más allá de lo necesario, reportárnosla primero y darnos tiempo para corregirla. El Safe Harbor deja de aplicarse si cruzas ese límite, exfiltras datos de usuarios o retienes detalles técnicos para exigir un pago.
No automáticamente. Protectstar no opera un programa bug bounty tradicional con pagos fijos o garantizados. La Hall of Fame es nuestra forma principal de reconocimiento. Para reportes especialmente útiles, validados, previamente desconocidos y dentro del alcance, podemos ofrecer a nuestra entera discreción un pequeño pago monetario voluntario de reconocimiento. No negociamos recompensas antes de recibir y validar el reporte técnico completo.
Aceptamos reportes anónimos y los revisamos técnicamente de la misma manera. Previa solicitud, te acreditaremos en la Hall of Fame con un seudónimo, siempre que se cumplan los requisitos.
Usamos CVSS 4.0 o CVSS 3.1 como guía y lo complementamos con factores de impacto de tu demostración. Protectstar realiza la evaluación final. Si nuestra evaluación difiere de la tuya, podemos explicarla previa solicitud.
Para vulnerabilidades de producto adecuadas, revisamos la coordinación CVE mediante una CNA apropiada u otro canal adecuado. Un ID CVE no está garantizado y depende de las reglas CVE de la CNA.
Sí, pero solo de forma no invasiva, con limitación de tasa y sobre activos listados explícitamente como dentro del alcance. No se permiten herramientas agresivas, altas tasas de solicitudes ni pruebas que puedan afectar la disponibilidad para otros usuarios. La salida bruta de un escáner sin impacto verificado, como cabeceras ausentes, notas TLS o divulgación de versión, no es elegible para reconocimiento. En caso de duda: pregunta primero.
Cuenta la primera persona que lo reporta. Si una vulnerabilidad ya es conocida internamente o ya fue reportada, no es elegible para reconocimiento. Te lo haremos saber lo antes posible.
Los reportes sobre apps y APIs de Protectstar son bienvenidos. En esta primera fase, sin embargo, se revisan caso por caso y no son automáticamente elegibles para reconocimiento salvo que el activo afectado esté listado explícitamente arriba o confirmado por escrito por nosotros. Aun así, envíanos tu reporte.
Envíanos tu reporte.
Revisamos los reportes creíbles y normalmente respondemos en pocos días hábiles.
PGP disponible · security.txt conforme a RFC 9116 · Safe Harbor para investigación de buena fe