Programa de recompensas por vulnerabilidades

Un programa de recompensas por vulnerabilidades es una oferta permanente de pagar a investigadores externos por reportar fallos de forma privada, escalonada por gravedad y regida por una política publicada que define qué entra en el alcance, cómo se reporta y qué se permite hacer al investigador mientras prueba. En cripto cubre un hueco que las auditorías no pueden cubrir: una auditoría es un encargo acotado contra una foto fija del código, mientras que una recompensa opera de forma continua contra el sistema desplegado, incluidas las partes que cambiaron después de terminar la auditoría. La cifra del titular es la parte menos informativa. Lea primero el alcance: un programa que solo cubre una web de marketing mientras los contratos del puente y la ruta de firma de retiradas quedan fuera no está protegiendo aquello que puede costarle el dinero. Lea después la cláusula de puerto seguro, que es la promesa de no emprender acciones legales contra un investigador que se mantuvo dentro de las reglas; sin ella, los investigadores más capaces de encontrar los fallos graves tienen todos los motivos para mantenerse lejos. Busque luego pruebas de que el programa paga de verdad: totales de pagos publicados, número de reportes resueltos o una ficha en una plataforma que registre divulgaciones. Una recompensa máxima alta con alcance estrecho, sin puerto seguro y sin historial de pagos es una frase de marketing. Un máximo modesto con alcance amplio, reglas claras e historial visible es un control que funciona.