Programa de bug bounty.
Cyril tiene un programa de divulgación coordinada de vulnerabilidades. Agradecemos los informes de investigadores de seguridad que actúen de buena fe y nos comprometemos a no emprender nunca acciones legales contra quien siga esta política.
Cómo notificar
Escribe a security@getcyril.com. Un solo mensaje con estos cinco puntos nos permite reproducir el problema a la primera.
Incluye, por favor
- Una descripción clara de la vulnerabilidad y de su posible impacto
- Instrucciones paso a paso para reproducirla, idealmente con una prueba de concepto mínima
- Las URL y los puntos de acceso afectados, y el contexto de cuenta necesario
- Tu estimación CVSS y el nivel de gravedad (lo ajustaremos si hace falta)
- Si quieres un reconocimiento público, y con qué nombre
Confirmaremos la recepción en un plazo de 2 días hábiles. Si en ese plazo no tienes respuesta, vuelve a enviarlo: puede que tu mensaje se haya filtrado.
Gravedad y tiempos de respuesta
| Gravedad | CVSS v3.1 | Ejemplos | Primera respuesta objetivo |
|---|---|---|---|
| Crítica | 9.0–10.0 | Ejecución remota de código; acceso total a la base de datos; exposición de datos entre clientes; elusión del flujo de pago | 24 horas |
| Alta | 7.0–8.9 | Escalada de privilegios autenticada; SSRF que alcanza servicios internos; elusión de la autenticación en un punto de acceso | 48 horas |
| Media | 4.0–6.9 | XSS almacenado en una zona autenticada; CSRF en un punto de acceso que cambia el estado; IDOR de alcance limitado | 5 días hábiles |
| Baja | 0.1–3.9 | XSS reflejado que requiere interacción de la víctima; límites de frecuencia ausentes sin vía de abuso; fugas informativas | 10 días hábiles |
Son tiempos hasta la primera clasificación, no hasta la corrección. Compartiremos un calendario de corrección en cuanto el problema esté reproducido y acotado. Son objetivos: el compromiso que sí asumimos es el acuse de recibo anterior, en un plazo de 2 días laborables sea cual sea la gravedad. Cyril es un equipo pequeño y no tiene guardia 24 horas, y preferimos decirlo a publicar una cifra que no siempre podríamos cumplir.
Dentro del alcance
Los hosts aparecen exactamente como son. Si un host no está aquí, no entra en el alcance.
app.getcyril.comFrontend de la aplicación para el equipo internoapi.getcyril.comAPI REST pública + puntos de acceso de auditoría MCPadmin.getcyril.comFrontend de administración de la plataformaportal.getcyril.comFrontend del portal de clientesgetcyril.comEste sitio web, incluidos sus puntos de acceso de captación de contactos y de informes*.getcyril.comSubdominios de organización, cuando estén disponibles. Excluye cualquier host con el sufijo -staging (ver abajo).Fuera del alcance
- Hallazgos en entornos de staging o de desarrollo (
*-staging.getcyril.com) - Servicios de terceros de los que dependemos: notifícalo directamente a ese proveedor
- Ingeniería social contra el equipo, los clientes o los proveedores
- Ataques físicos contra instalaciones, equipos o personal
- Ataques de denegación de servicio o volumétricos
- Spam, phishing o cualquier cosa que contacte con terceros sin su consentimiento
- Hallazgos que solo se reproducen con credenciales obtenidas por fuerza bruta o tokens robados
- Vulnerabilidades que afectan a usuarios de navegadores desactualizados (damos soporte a las dos últimas versiones principales de Chrome, Firefox, Safari y Edge)
- Self-XSS, cabeceras de seguridad ausentes sin impacto demostrado y límites de frecuencia ausentes sin vía de abuso
- Informes basados en resultados de escáneres automáticos sin una prueba de concepto que funcione
Puerto seguro
Siempre que actúes de buena fe y sigas esta política, Cyril considera tu investigación una conducta autorizada. No emprenderemos acciones legales contra ti —tampoco al amparo de la Computer Misuse Act 1990 (Reino Unido), la Computer Fraud and Abuse Act (EE. UU.) o legislación análoga de otras jurisdicciones— y colaboraremos con nuestros subencargados y con las fuerzas de seguridad cuando sea necesario para respaldar esa protección.
A cambio, te comprometes a:
- Dejar de hacer pruebas en cuanto confirmes la vulnerabilidad: no extraigas más datos que el mínimo necesario para demostrar el impacto.
- No acceder a datos de otros usuarios u organizaciones, ni modificarlos ni destruirlos.
- No interrumpir el servicio a otros usuarios.
- No divulgar públicamente la vulnerabilidad antes de que hayamos tenido una oportunidad razonable de corregirla (normalmente 90 días, con prórrogas acordadas por escrito para correcciones complejas).
- Cumplir toda la legislación aplicable.
Reconocimiento
Por ahora, el programa de Cyril ofrece solo reconocimiento. Con tu consentimiento, te mencionamos públicamente en esta página cuando se haya publicado la corrección y haya pasado un plazo razonable de divulgación.
Estamos estudiando recompensas económicas a medida que madure la plataforma. Cuando lleguen, la tabla de recompensas aparecerá aquí con importes mínimos por gravedad y reglas sobre qué vulnerabilidades cuentan, y quienes hayan enviado un informe que cumpla los requisitos antes del cambio recibirán la compensación de forma retroactiva.
La seguridad, la ubicación de los datos y la capa de IA se explican en el Centro de confianza.
Centro de confianza