Infraestructura, servicios web, aplicaciones de activación por SMS

Reglas de participación en el programa Bug Bounty

Registro y Verificación

• Registro: Para participar en el programa primero debe registrarse en el sitio web. sms-activate.es Proporcione su cuenta de Telegram durante el proceso de registro para facilitar la comunicación;
• Verificación: Debe pasar por el proceso de verificación para recibir pagos. Se le enviarán instrucciones detalladas a través de Telegram una vez que se apruebe su informe.

Proporcionar informes

• Estudiando las reglas: Antes de enviar su informe, familiarícese con las reglas de participación y los tipos de vulnerabilidades que pueden considerarse;
• Formulario de informe: usa el formulario en la pagina sms-activate.es/bugbountyForm para enviar su informe. Su informe debe contener una descripción clara de la vulnerabilidad, pasos para reproducirla, evidencia (capturas de pantalla, videos) y recomendaciones para solucionarla;
• Archivos adicionales: adjunte archivos adicionales para confirmar la vulnerabilidad si es necesario;

Proceso de revisión de informes

Tipos de vulnerabilidades

Verificación y privacidad

Pagos

Normas éticas

Apéndice A

• SECO (Los informes sobre este tipo de vulnerabilidad se aceptan sólo en caso de un alto nivel de criticidad; el nivel de criticidad lo determina nuestro especialista cuando se confirma la vulnerabilidad);
• Cualquier tipo de vulnerabilidad XSS, excepto para XSS almacenado (se aceptan informes de vulnerabilidad XSS almacenados según la importancia del recurso web);
• Secuestro de clics;
• URI de redireccionamiento inseguro;
• Listado de directorio habilitado (contraseñas, copias de seguridad) y Exposición de datos confidenciales (dependiendo de los datos divulgados; se aceptan informes sobre esta vulnerabilidad si se encuentran datos críticos);
• Modo de depuración habilitado, que no revele datos críticos;
• vulnerabilidades CSRF, encontrado dentro de una función que no es crítica;
• Divulgación del panel de administración. (si el cazador de errores encuentra el panel de administración, pero no puede realizar la apropiación de la cuenta u obtener otra información crítica);
• Enumeración de usuarios sin revelar datos críticos;
• Configuración incorrecta de seguridad, en caso de que no exista evidencia de que la amenaza se haya materializado;
• Negarse a proporcionar servicios;
• Correo basura;
• Ingeniería social, dirigido a empleados, contratistas o clientes;
• Cualquier intento físico de obtener acceso a la propiedad o a los centros de datos.
• Dueño del sistema;
• Informe creado mediante el uso de herramientas y escaneos automatizados;
• Errores en un software de terceros;
• Ausencia de encabezados de seguridad. que no conduzcan directamente a una vulnerabilidad;
• Violación de confianza SSL/TLS;
• Vulnerabilidades que afectan únicamente a usuarios de navegadores y plataformas obsoletos o sin licencia;
• Políticas de recuperación de contraseñas y cuentas, como la fecha de vencimiento de un enlace de restablecimiento o la seguridad de la contraseña;
• Registro DNS desactualizado, apuntando a un sistema que no pertenece al propietario del sistema.