Ámbito del programa Bug Bounty

• Las recompensas por conclusiones significativas pueden alcanzar los 300 000 USD.
• La pila de tratamiento privado se ejecuta en entornos virtuales seguros diseñados para proteger los datos confidenciales.
• Se proporcionan guías de configuración y artefactos de prueba verificados para ayudar a los investigadores a empezar rápidamente.
• Obtén más información sobre cómo WhatsApp usa la computación confidencial para proteger los datos de los usuarios en la procesándose publicación del blog de ingeniería sobre el tratamiento privado de WhatsApp .

Para enviar informes sobre algo no perteneciente al ámbito del programa Bug Bounty, usa uno de estos canales:

• Cumplir nuestra Política de investigación y divulgación responsable y las disposiciones de puerto seguro (consultar más arriba).
• Informar de un fallo de seguridad. Es decir, identificar una vulnerabilidad en nuestros servicios o nuestra infraestructura (véase el ámbito del programa más arriba) que implique un riesgo para la seguridad o la privacidad. Ten en cuenta que es Meta quien determina en última instancia el riesgo que supone un problema y que muchos fallos de software no constituyen problemas de seguridad. Informar de la vulnerabilidad en cuanto la detectes o tan pronto como sea posible.
• Notificar un fallo de seguridad relativo a uno de nuestros productos o servicios incluidos en el ámbito del programa (véase “Ámbito del programa Meta Bug Bounty” más abajo). Algunos problemas de seguridad potenciales quedan excluidos de forma específica. Puedes consultar la lista en Problemas excluidos y Falsos positivos (consultar más abajo).
• Envía el informe mediante la opción Informar de una vulnerabilidad de seguridad (un problema por informe) y responder a las solicitudes posteriores de información que nuestro equipo pueda hacerte. No te pongas en contacto con nuestro equipo directamente o a través de otros canales para tratar temas relativos a un informe.
  • Te confirmaremos que hemos recibido el informe una vez que lo envíes.
• Usar cuentas de prueba al investigar problemas. Si no puedes reproducir un problema con una cuenta de prueba, puedes utilizar una real para la cual tengas autorización (excepto para las pruebas automatizadas). No emplees cuentas reales que pertenezcan a otra persona sin su consentimiento explícito por escrito (por ejemplo, no realices pruebas con la cuenta de Mark Zuckerberg), ni interactúes con ellas.
• Antes de llevar a cabo cualquier acción que pudiera ser incompatible con las presentes condiciones del servicio o que estas no recojan, contacta con nosotros y te aclararemos cualquier duda.

• Analizamos y respondemos a todos los informes válidos. No obstante, debido al elevado volumen de informes que recibimos, establecemos prioridades para su evaluación en función del riesgo y otros factores, y puede pasar un tiempo antes de que recibas una respuesta.
• Determinamos los importes de las recompensas basándonos en diversos factores, incluidos, entre otros, la repercusión, la facilidad de explotación y la calidad del informe. En caso de que decidamos conceder una recompensa, el importe mínimo es de $500*. Ten en cuenta que los problemas de riesgo extremadamente bajo podrían no optar a ninguna recompensa. Cabe la posibilidad de que, aunque el problema que hayas detectado suponga un riesgo bajo, te concedamos, a nuestra entera discreción, una recompensa de un valor superior si tu informe nos ayuda a detectar vulnerabilidades de mayor importancia.
• Por lo general, concedemos recompensas de menor cuantía cuando se trata de vulnerabilidades que suponen un riesgo solo a través de versiones antiguas de software no desarrollado por Meta, como un navegador web. Aun así, este tipo de informes también se tienen en cuenta.
• Procuramos pagar importes similares en el caso de problemas parecidos, pero los importes de las recompensas y los problemas considerados aptos pueden cambiar con el tiempo. El hecho de haber concedido recompensas con anterioridad por un problema determinado no garantiza necesariamente que ocurra lo mismo en el futuro.
• En el caso de los informes duplicados, otorgaremos la recompensa a la primera persona que haya informado del problema. Es Meta quien, según su criterio exclusivo, determina qué informe es un duplicado. Además, no tiene la obligación de compartir detalles sobre otros informes similares anteriores. Por lo general, la recompensa se paga a una sola persona. No obstante, si un informe posterior que se haya enviado acerca de un problema evaluado anteriormente nos ayuda a detectar una vulnerabilidad que sigue vigente o cuya gravedad sea mayor de lo estimado en un primer momento, es posible que concedamos una recompensa al autor este segundo informe y que nos planteemos otorgar una adicional al autor del informe original.
• Tienes la posibilidad de donar el importe de tu recompensa a una organización benéfica reconocida siempre que cuentes con el consentimiento de Meta. De hecho, duplicamos la cuantía de las recompensas que se donan a este tipo de organizaciones.
• Nos reservamos el derecho de publicar los informes (y las actualizaciones de estos).
• Publicamos una lista de investigadores que han enviado informes de seguridad válidos. Para poder aparecer en la lista es obligatorio haber recibido una recompensa, pero figurar en ella es opcional. Nos reservamos el derecho de limitar o modificar la información que aparece junto a tu nombre en la lista.
• Verificamos que todas las recompensas cumplan la legislación aplicable, incluidas, entre otras, las restricciones económicas y las sanciones comerciales de EE. UU.
• Con el fin de procesar los pagos de las recompensas, Meta puede compartir con Bugcrowd y HackerOne datos de los informes, como los niveles de gravedad, el importe de los pagos y, en caso de que el analista dé su consentimiento, su identificador.

Podemos retener cualquier comunicación sobre los problemas de seguridad de los que informes durante el tiempo que consideremos necesario para este programa, que podemos cancelar o modificar en cualquier momento.

Las personas que cumplan los requisitos y envíen un informe válido a Meta que resulte en un pago conforme a estas Condiciones serán inscritas automáticamente en nuestro programa de recompensas Hacker Plus. Esto les dará la oportunidad de conseguir un puesto en la liga dentro del programa y recibir recompensas (sujeto a verificación y conforme a la liga para la cual sean aptas). No es necesario realizar ninguna compra para participar en este programa. Hacerlo no aumentará las posibilidades de recibir una recompensa. La participación en este programa es nula donde esté prohibida por ley. Todas las recompensas y la participación están sujetas a la totalidad de nuestros Términos y condiciones de Hacker Plus, que pueden consultarse aquí: https://bugbounty.meta.com/hackerplus/terms. Es posible que Meta ofrezca funciones que permitan a los participantes mostrar de forma pública determinada información sobre su participación en este programa en un perfil de investigador, como información del perfil, la liga alcanzada e insignias, puntos, clasificación, relación señal-ruido y otras estadísticas relacionadas. Si decides compartir tu información mediante esta función, los datos serán públicos, por lo que otras personas, incluidas aquellas que no tienen una cuenta de Facebook, podrán usarlos o compartirlos con terceros.

Si la vulnerabilidad se detecta de una de estas dos maneras:

La vulnerabilidad debe suponer una amenaza potencial para la seguridad de los datos de los usuarios o los sistemas de Meta, como la divulgación de identificadores de acceso.

La decisión sobre una posible compensación por informar de una vulnerabilidad que afecte a una aplicación o un sitio web de terceros, así como su cuantía, se tomará a nuestra entera discreción. Entre los factores que afectan a la toma de decisiones relativa a la concesión de recompensas se incluyen nuestra capacidad de verificar las vulnerabilidades y garantizar su corrección; el número de usuarios de Facebook que puedan verse afectados (las recompensas suelen concederse si esta cifra supera los 200 000 usuarios); así como el grado de incidencia que dicha vulnerabilidad pueda tener en los datos de usuarios o los sistemas de Meta en caso de no corregirse. Recibir una compensación a través del programa Meta Bug Bounty de un tercero no implica que no se te pueda otorgar otra mediante el programa Meta Bug Bounty, siempre y cuando te atengas a estas condiciones.

A continuación detallamos los principales motivos por los que cerramos informes como no válidos (informativos/no aplicables):