Programa de divulgación de vulnerabilidades

¿Has encontrado una vulnerabilidad?
Avísanos primero.

Revisamos todos los reportes creíbles. Hall of Fame primero; se puede considerar un pago voluntario de reconocimiento caso por caso.

Mostrar clave PGP

Nuestro enfoque

La seguridad es trabajo en equipo.

Los investigadores de seguridad no son adversarios. A menudo son los primeros en detectar vulnerabilidades reales. Te tratamos con respeto: respuestas honestas, condiciones claras y reconocimiento justo. Este es un Programa de divulgación de vulnerabilidades con posible reconocimiento en la Hall of Fame y pequeños pagos de reconocimiento opcionales tras una revisión caso por caso. No es un programa bug bounty tradicional con pagos fijos o garantizados.

Apple acredita a nuestro fundador Chris Bohn por su nombre en una actualización de seguridad oficial por una vulnerabilidad del kernel reportada en OS X (CVE-2013-1029). Sabemos de primera mano cuánto trabajo requiere un buen reporte y lo importante que es un trato justo. Fuente: support.apple.com/en-us/103517

Cómo funciona

Del reporte a la corrección en tres pasos.

Sin burocracia. Sin formularios. Sin procesos ocultos.

Paso 01

Reportar

Envía un correo electrónico a . Describe el activo afectado, los pasos de reproducción y el impacto realista. Cuanto más preciso sea tu reporte, más rápido podremos revisarlo.

Paso 02

Evaluación inicial

Revisamos los reportes creíbles y normalmente respondemos en pocos días hábiles. Si hay retrasos, te mantendremos informado.

Paso 03

Corrección y reconocimiento

Las correcciones se priorizan según la gravedad. Los hallazgos elegibles y validados pueden acreditarse en nuestra Hall of Fame. Para vulnerabilidades de producto adecuadas, revisamos la coordinación CVE.

RFC 9116

security.txt

¿Usas un escáner o revisas /.well-known/security.txt? Has llegado al lugar correcto.


# https://www.protectstar.com/.well-known/security.txt

Contact: mailto:security@protectstar.com
Encryption: https://www.protectstar.com/security/pgp.asc
Policy: https://www.protectstar.com/security
Acknowledgments: https://www.protectstar.com/security/acknowledgments
Preferred-Languages: en, de
Canonical: https://www.protectstar.com/.well-known/security.txt
Canonical: https://protectstar.com/.well-known/security.txt
Expires: 2027-05-19T23:59:59Z

Abrir archivo activo · Formato conforme a RFC 9116

Alcance

Qué está dentro del alcance.

Empezamos con un alcance deliberadamente limitado para que nuestro equipo pueda revisar cada reporte en profundidad. Los reportes sobre apps y APIs son bienvenidos, pero se revisarán caso por caso.

Dentro del alcance

www.protectstar.com & protectstar.com Áreas públicas del sitio web operadas directamente por Protectstar
Mecanismos de integridad de actualizaciones y descargas documentados públicamente Firmas y hashes alojados en la infraestructura de Protectstar
Metadatos publicados de integridad de archivos Publicado en protectstar.com
Subdominios adicionales Solo cuando estén listados explícitamente o confirmados por escrito por nosotros

Fuera del alcance

Sistemas y servicios de terceros Proveedores de tienda y pagos, app stores, CDN/hosting, motores externos, SDKs y servicios de partners
APIs, servidores de licencia/activación y sistemas internos que no hayan sido confirmados explícitamente
Ingeniería social & phishing Acciones dirigidas a empleados, soporte o partners
DoS / DDoS / pruebas de volumen
Ataques físicos
Self-XSS y cabeceras de mejores prácticas ausentes sin impacto
Versiones beta / TestFlight / preliminares

Apps, APIs backend, software de escritorio: Los reportes son bienvenidos, pero no están automáticamente dentro del alcance ni son automáticamente elegibles para reconocimiento. Revisamos cada reporte caso por caso.

Safe Harbor

Investiga de buena fe. Te trataremos de forma justa.

Si realizas investigación de seguridad de buena fe, dentro de esta política y exclusivamente sobre activos listados explícitamente como dentro del alcance o confirmados por escrito por nosotros, consideramos esa investigación autorizada. Protectstar no iniciará ni apoyará acciones legales por dicha investigación en la medida en que las reclamaciones estén bajo nuestro control.

Requisitos

No explotar más allá de lo necesario para demostrar la vulnerabilidad
No divulgar la vulnerabilidad a terceros antes de una corrección
No exfiltrar, modificar, eliminar, almacenar ni compartir datos que no te pertenezcan. Usa cuentas de prueba siempre que sea posible
No publicar ni divulgar sin coordinación previa y aprobación por escrito; 90 días es nuestra guía, no una autorización automática
No causar interrupción intencional del servicio ni destrucción de datos
Cumplir las leyes aplicables a ti, a tu investigación y a los sistemas afectados

Si ves accidentalmente datos que no te pertenecen, detente de inmediato. No accedas, copies, modifiques, elimines, almacenes ni compartas esos datos, y reporta solo la información mínima necesaria para la verificación. Esta garantía se aplica exclusivamente a reclamaciones bajo el control de Protectstar y no autoriza ninguna conducta prohibida por la ley. No se extiende a actividades contra sistemas, servicios, redes o datos de terceros, y no impide acciones independientes de terceros. En caso de duda: pregunta antes, no después.

Reconocimiento

Hall of Fame primero. Pequeños pagos de reconocimiento caso por caso.

Protectstar no opera un programa bug bounty tradicional con pagos fijos o garantizados. Nuestro enfoque está en una revisión justa, una remediación coordinada y un posible reconocimiento en la Hall of Fame para reportes que cumplan nuestros requisitos. Además, Protectstar puede, a su entera discreción, ofrecer un pequeño pago monetario voluntario de reconocimiento por reportes especialmente útiles, validados, previamente desconocidos y dentro del alcance. No existe derecho a pago; cualquier decisión de conceder un pago, y su importe, se toma únicamente después de validar el reporte técnico completo.

Requisitos para un posible reconocimiento en la Hall of Fame

Válido y documentado de forma reproducible
Previamente desconocido y no ya en revisión interna
Dentro del alcance según las áreas listadas arriba
Enviado primero (cuenta la primera persona que lo reporta)
Reportado sin violar esta política
Materialmente relevante para la seguridad de Protectstar o de nuestros usuarios
Sin amenazas ni exigencias de pago antes, durante o después del reporte

Clasificación de la gravedad

La gravedad influye en la prioridad de la corrección y en el posible reconocimiento. La Hall of Fame sigue siendo nuestra forma principal de reconocimiento.

Severity	Ejemplos comunes	Reconocimiento posible
Crítica	Ejecución remota de código, bypass de autenticación, fuga masiva de datos, compromiso de integridad de actualización	Hall of Fame; puede considerarse un pequeño pago voluntario de reconocimiento tras una revisión caso por caso
Alta	Escalada de privilegios, debilidades criptográficas con impacto, toma de control de cuenta	Hall of Fame; puede considerarse un pequeño pago voluntario de reconocimiento tras una revisión caso por caso
Media	XSS almacenado, IDOR con impacto demostrable, problemas de sesión	Hall of Fame; puede considerarse un pequeño pago opcional de reconocimiento por un impacto claro y reproducible
Baja	XSS reflejado con impacto limitado, divulgación de información sin consecuencias	Normalmente Hall of Fame o agradecimiento; reconocimiento monetario solo en casos excepcionales

La gravedad se evalúa usando CVSS 4.0 o CVSS 3.1 como guía. Protectstar realiza la evaluación final; podemos explicar por escrito las evaluaciones discrepantes previa solicitud. No negociamos importes antes de recibir y validar el reporte técnico completo.

Tiempos de respuesta

Nuestros plazos objetivo.

Somos un equipo pequeño, no un SOC 24/7. Estos números son nuestros objetivos. Si hay retrasos, te lo comunicaremos.

3 días hábiles Acuse de recibo (objetivo)

10 días hábiles Evaluación técnica inicial (objetivo)

90 días Divulgación coordinada (objetivo)

Cifrado

Clave PGP.

Para detalles sensibles de vulnerabilidades, puedes cifrar tu reporte.

Huella digital

B8DB 47D7 DBE5 DD63 7C65 80E0 3513 CE31 BD10 B7AD

ID de clave

0x3513CE31BD10B7AD

Identidad

PROTECTSTAR Support Hero
< >

Esta clave está actualmente asociada con y autorizada por Protectstar para comunicación cifrada con .

Descargar clave

Hall of Fame

Quién nos ha ayudado.

Investigadores de seguridad que han usado nuestro programa de forma responsable y ayudado a que nuestros productos sean más seguros.

Aditya Singh

India

Security Misconfiguration

August 2026

Peter Levashov

SEVERADAO SECURITY LLC

Responsible, coordinated disclosure through our Vulnerability Disclosure Program. Thank you.

May 2026

Listado con tu nombre legal o seudónimo previa solicitud. Para vulnerabilidades de producto adecuadas, revisamos la coordinación CVE mediante una CNA apropiada.

Preguntas frecuentes

Antes de preguntar.

¿Qué significa "de buena fe"?

Investigar de buena fe significa seguir esta política, demostrar una vulnerabilidad sin explotarla más allá de lo necesario, reportárnosla primero y darnos tiempo para corregirla. El Safe Harbor deja de aplicarse si cruzas ese límite, exfiltras datos de usuarios o retienes detalles técnicos para exigir un pago.

¿Me pagarán por mi reporte?

No automáticamente. Protectstar no opera un programa bug bounty tradicional con pagos fijos o garantizados. La Hall of Fame es nuestra forma principal de reconocimiento. Para reportes especialmente útiles, validados, previamente desconocidos y dentro del alcance, podemos ofrecer a nuestra entera discreción un pequeño pago monetario voluntario de reconocimiento. No negociamos recompensas antes de recibir y validar el reporte técnico completo.

¿Qué pasa si quiero reportar de forma anónima?

Aceptamos reportes anónimos y los revisamos técnicamente de la misma manera. Previa solicitud, te acreditaremos en la Hall of Fame con un seudónimo, siempre que se cumplan los requisitos.

¿Cómo se determina la gravedad?

Usamos CVSS 4.0 o CVSS 3.1 como guía y lo complementamos con factores de impacto de tu demostración. Protectstar realiza la evaluación final. Si nuestra evaluación difiere de la tuya, podemos explicarla previa solicitud.

¿Mi hallazgo recibirá un ID CVE?

Para vulnerabilidades de producto adecuadas, revisamos la coordinación CVE mediante una CNA apropiada u otro canal adecuado. Un ID CVE no está garantizado y depende de las reglas CVE de la CNA.

¿Puedo usar escáneres automatizados?

Sí, pero solo de forma no invasiva, con limitación de tasa y sobre activos listados explícitamente como dentro del alcance. No se permiten herramientas agresivas, altas tasas de solicitudes ni pruebas que puedan afectar la disponibilidad para otros usuarios. La salida bruta de un escáner sin impacto verificado, como cabeceras ausentes, notas TLS o divulgación de versión, no es elegible para reconocimiento. En caso de duda: pregunta primero.

¿Qué ocurre con reportes duplicados?

Cuenta la primera persona que lo reporta. Si una vulnerabilidad ya es conocida internamente o ya fue reportada, no es elegible para reconocimiento. Te lo haremos saber lo antes posible.

Mi reporte trata sobre una app o API backend. ¿Está dentro del alcance?

Los reportes sobre apps y APIs de Protectstar son bienvenidos. En esta primera fase, sin embargo, se revisan caso por caso y no son automáticamente elegibles para reconocimiento salvo que el activo afectado esté listado explícitamente arriba o confirmado por escrito por nosotros. Aun así, envíanos tu reporte.

Envíanos tu reporte.

Revisamos los reportes creíbles y normalmente respondemos en pocos días hábiles.

PGP disponible · security.txt conforme a RFC 9116 · Safe Harbor para investigación de buena fe