Programa de recompensas por errores de Tiquo
Agradecemos el trabajo de los investigadores que comunican vulnerabilidades de forma responsable, con pruebas verificadas manualmente.
Cómo funciona
Descubres una posible vulnerabilidad de seguridad en un producto de Tiquo.
Envías un informe detallado a nuestro equipo de seguridad.
Revisamos el informe internamente en 24 horas; la respuesta formal puede llegar después.
El equipo investiga, reproduce y clasifica el problema.
Te comunicamos la clasificación y el importe de la recompensa.
El pago se emite en los 30 días posteriores a la clasificación.
Tiquo determina la gravedad y la recompensa tras evaluar por separado el impacto real, la facilidad de explotación y el alcance.
Dado que recibimos cientos de informes falsos generados por IA, nos reservamos el derecho de rechazar o no responder a los informes que no aporten información real o valiosa.
Las pruebas de recompensas por errores en cualquier cuenta de Tiquo en producción requieren la aprobación previa por escrito de Tiquo. Si realizas cualquier actividad dirigida a estas cuentas sin dicha aprobación, no se pagará ninguna recompensa, independientemente de tus hallazgos.
Qué está incluido
El programa abarca lo siguiente:
- tiquo.co
- Endpoints de la API de Tiquo
- Aplicaciones móviles de Tiquo para iOS y Android
- Aplicación web y panel tiquo.app
- Flujos de autenticación y autorización
- Procesos de pagos y tratamiento de datos
- Hardware de Tiquo
Qué no está incluido
Los siguientes casos no pueden recibir recompensas:
- Servicios o integraciones de terceros que no pertenezcan a Tiquo
- Ingeniería social o phishing contra empleados o clientes de Tiquo
- Ataques de denegación de servicio (DoS/DDoS)
- Spam o limitación de solicitudes sin impacto directo en la seguridad
- Proyectos aislados sin datos sensibles ni información de clientes
- Vulnerabilidades que requieran navegadores o plataformas obsoletos
- Problemas ya comunicados o que ya conocemos
- Informes automatizados, especulativos o generados por IA sin una prueba funcional verificada manualmente
- Cabeceras de seguridad ausentes, mensajes de error o detalles internos inofensivos, clickjacking en páginas no sensibles, divulgación de versiones, software obsoleto sin un exploit funcional y hallazgos teóricos de XSS o CORS sin impacto de seguridad demostrado.
Niveles de recompensa
Solo las vulnerabilidades reproducibles con un impacto de seguridad demostrado pueden recibir recompensas. La gravedad depende del impacto probado y la facilidad de explotación, no del nombre de la vulnerabilidad ni de la puntuación de un escáner. Los informes sin impacto significativo no reciben pagos.
Compromiso demostrado de sistemas centrales de producción con impacto generalizado.
Exploit funcional demostrado con un impacto de seguridad sustancial.
Problemas explotables con impacto significativo pero limitado. Las recompensas superiores requieren un impacto Alto o Crítico demostrado.
Vulnerabilidades menores y reproducibles con un impacto de seguridad pequeño pero demostrable.
Recompensas adicionales
Los informes excepcionalmente claros, el impacto amplio, las cadenas de ataque creativas o una estrecha colaboración durante la corrección pueden recibir una recompensa adicional.
Directrices de envío
Para ayudarnos a investigar con rapidez, incluye:
- 1Una descripción clara de la vulnerabilidad
- 2Instrucciones paso a paso para reproducirla
- 3La URL, el endpoint o la pantalla afectados
- 4Tu entorno de pruebas, navegador, sistema operativo y dispositivo
- 5Capturas o código de prueba cuando sea posible
- 6Tu evaluación del posible impacto
Envía una vulnerabilidad por informe y crea informes separados para problemas distintos.
Normas de participación
- 1No accedas, modifiques ni elimines datos de otros usuarios.
- 2No ejecutes escáneres automatizados contra sistemas de producción sin autorización previa por escrito.
- 3No divulgues públicamente ninguna vulnerabilidad, informe, prueba ni detalle relacionado.
- 4No utilices IA ni modelos de lenguaje para redactar el informe. Queremos investigación original basada en tus propias pruebas manuales; los informes especulativos o no verificados serán rechazados.
- 5Actúa de buena fe en todo momento.
Protección para investigadores
Los investigadores que actúen de buena fe y sigan estas normas no se enfrentarán a acciones legales de Tiquo. El programa se ofrece a discreción de Tiquo; podemos modificarlo o finalizarlo y nuestras decisiones son definitivas.
Contacto
Envía tus informes a:
security@tiquo.coRevisamos internamente cada informe en un plazo de 24 horas. La respuesta formal puede tardar más; recibirás una evaluación inicial en un máximo de 10 días laborables. No envíes recordatorios sobre el estado.