🛡️ Aura · SeguridadVolver →

Programa de bug bounty

Si encontrás una vulnerabilidad en Aura, queremos saberlo. Reportes responsables son recompensados según severidad. Lo tratamos en serio: respuesta inicial en 24h para P0.

Tabla de recompensas

Critical (P0)
$1,000 USD
  • • RCE
  • • Aislamiento multi-tenant roto
  • • Bypass de auth completo
  • • Filtrado masivo de datos
High (P1)
$500 USD
  • • SQL injection
  • • IDOR/escalación de privilegios
  • • Bypass de 2FA en cuenta privilegiada
  • • XSS persistente
Medium (P2)
$200 USD
  • • XSS reflejado
  • • CSRF crítico
  • • Información sensible expuesta
  • • Race conditions explotables
Low (P3)
$50 USD
  • • Header missing
  • • Rate limit débil
  • • Información leve no sensible
  • • Subdomain takeover sin uso

Recompensas calculadas según impacto real demostrado, no según teoría. Bugs duplicados solo se pagan al primer reporte. Empleados de Aura no son elegibles.

✓ Scope incluido

  • ✓ aura.cownnection.com (web app)
  • ✓ api endpoints en /api/v1/*
  • ✓ apps móviles (PWA driver, futura Aura Apps)
  • ✓ autenticación, billing, multi-tenant isolation
  • ✓ integraciones (Aura Payments, Aura Connect, sync de marketplaces)

✗ Fuera de scope

  • ✗ Servidores físicos / infra del proveedor cloud
  • ✗ Ataques de ingeniería social a empleados
  • ✗ DDoS / spam / brute force masivo
  • ✗ Sitios de terceros con los que Aura integra (Stripe, MeLi, etc.)
  • ✗ Vulnerabilidades en dependencias sin demostrar impacto en Aura
  • ✗ Versiones beta/staging marcadas explícitamente

Cómo reportar

1. Email cifrado
security@aura.cownnection.com — incluí pasos de reproducción, impacto, payload mínimo. Si manejás data sensible, cifralo con nuestra clave PGP (disponible bajo pedido).
2. No hagas público hasta que arreglemos
Disclosure responsable: 90 días para fixear, después podés publicar. Si en 90 días no arreglamos, te avisamos antes de extender. Sin reportes de cero-day en Twitter/X.
3. No abuses el bug
Reproducí lo mínimo necesario para demostrar el problema. NO leas data de otros clientes, NO modifiques estado, NO denegués servicio. Si lo hacés, perdés el reward y pueden haber consecuencias legales.

Compromiso de respuesta

Respuesta inicial
≤ 24h
para P0/P1 críticos
Respuesta inicial
≤ 72h
para P2/P3
Pago del reward
≤ 14d
después de confirmar fix

Hall of fame

Todavía no recibimos el primer reporte. Sé vos el primero — reservamos un lugar destacado para los primeros 10 researchers.