# Bug bounty

> Una empresa le paga a quien encuentra sus fallas de seguridad y se las avisa en privado.

- Nivel: Intermedio
- Temas: Seguridad
- URL: https://tidbit.legios.com.ar/es/bug-bounty/
- En inglés: [Bug bounty](https://tidbit.legios.com.ar/bug-bounty/)

Un **bug bounty** (literalmente, recompensa por bugs) es una oferta permanente de una empresa: si encontrás una falla de seguridad en nuestros productos y nos avisás en privado, siguiendo nuestras reglas, te pagamos. El monto depende de qué tan grave sea el problema, desde un agradecimiento chico por algo menor hasta sumas grandes por una falla que podría exponer cuentas de usuarios. Los tienen las grandes tecnológicas, bancos, gobiernos y muchas startups, a menudo a través de plataformas que gestionan los reportes y los pagos.

Cada programa publica una política que es el corazón del acuerdo. Lista qué sitios y apps están **en alcance**, qué está prohibido (atacar a otros usuarios, saturar servidores, tocar datos reales de clientes más allá de lo necesario para demostrar el punto) y cómo reportar. Dentro de esas reglas, los investigadores tienen permiso para probar; fuera de ellas, la misma actividad puede ser ilegal. Los reportes van en privado a la empresa, que confirma la falla, la arregla, paga y muchas veces deja que el investigador publique un análisis después.

Ese último paso se llama **divulgación coordinada** (o divulgación responsable): el problema se hace público recién cuando los usuarios están protegidos. Incluso las empresas sin un programa pago suelen publicar una **política de divulgación de vulnerabilidades** que explica cómo reportar una falla y promete no iniciar acciones legales contra quien actúa de buena fe.

Los bug bounties complementan a las pruebas de penetración, no las reemplazan. Un pentest es un equipo chico durante unas semanas; un bounty es mucha gente con habilidades distintas mirando todo el año. La contra es que la empresa tiene que estar lista para revisar un flujo constante de reportes, muchos repetidos o que no son problemas reales.

## Una analogía

Un cartel de recompensa al revés: en vez de pagar por atrapar al ladrón, el negocio le paga a cualquiera que le avise de una ventana sin traba, siempre que se lo diga al dueño y no se meta por ella.

## Para quedarse

- Se paga a investigadores por reportar en privado fallas de seguridad reales.
- La política del programa define el alcance y las reglas; probar fuera de eso no está autorizado.
- Divulgación coordinada: primero se arregla, después se publica.
- Complementa a los pentests: muchas personas, todo el año, pago por hallazgo.

## Para seguir leyendo

- [Vulnerability Disclosure Cheat Sheet, OWASP (en inglés)](https://cheatsheetseries.owasp.org/cheatsheets/Vulnerability_Disclosure_Cheat_Sheet.html)
- [Plantilla de política de divulgación, CISA (en inglés)](https://www.cisa.gov/vulnerability-disclosure-policy-template)
- [Bug bounty program en Wikipedia (en inglés)](https://en.wikipedia.org/wiki/Bug_bounty_program)

## Términos relacionados

- [Bug](https://tidbit.legios.com.ar/es/bug/): Un error en un software que hace que se comporte distinto de lo que se buscaba.
- [Servidor](https://tidbit.legios.com.ar/es/server/): Una computadora cuyo trabajo es responder pedidos de otras computadoras, todo el día.
- [Vulnerabilidad y CVE](https://tidbit.legios.com.ar/es/vulnerability-and-cve/): Una falla que permite abusar de un software, y el código público que la identifica.
- [Pruebas de penetración](https://tidbit.legios.com.ar/es/penetration-testing/): Contratar a alguien para que entre a tus sistemas, con permiso, antes que un delincuente.