Divulgación responsable
¿Encontraste una falla? Avísanos.
El programa de bug bounty de Mercado Facinho recompensa a quien encuentra una vulnerabilidad en nuestros sistemas y nos avisa con responsabilidad, antes de cualquier divulgación pública.
- Puerto seguro para quien siga las reglas
- Recompensa en dinero, según el impacto
Alcance
Qué puedes y qué no puedes probar.
Puedes probar
- Mercado Facinho (facinhosmurfs.com.br/mercado) y el panel de usuario
- La tienda (facinhosmurfs.com.br)
- La API (api.facinhosmurfs.com.br)
- Los paneles administrativo y de clientes
Fuera del alcance
- Ataques de denegación de servicio y pruebas de carga
- Ingeniería social, phishing y contacto con el equipo o con clientes
- Servicios de terceros, como proveedores de pago y los juegos
- Spam y escaneos automáticos masivos
Reglas
Sigue estas reglas para estar protegido por el puerto seguro.
- Usa solo cuentas y datos tuyos para probar.
- Detente en cuanto demuestres que la falla existe, sin profundizar.
- Accede a datos de otras personas solo lo mínimo necesario para demostrar la falla.
- Envía el reporte con pasos, impacto y prueba.
- Acuerda con nosotros antes de divulgar cualquier detalle.
Recompensa
La recompensa se paga en dinero, según el impacto de la falla y la calidad del reporte. En duplicados, vale el primer reporte válido. Las fallas de menor impacto entran al salón de la fama.
Qué nos interesa
- Ejecución remota de código y acceso masivo a datos de clientes.
- Fraude en pagos o saldo.
- Acceso a datos de otro usuario, toma de cuenta e inyección con impacto real.
- XSS almacenado, fallas de autorización y filtración de información.
Puerto seguro
Si actúas de buena fe y sigues las reglas de esta página, no te demandaremos ni acudiremos a las autoridades por tu investigación, y trabajaremos contigo para entender y corregir el problema. Esto vale para el alcance de arriba.
Cómo reportar
Los reportes de seguridad van por correo, en un canal separado del soporte común.
El botón abre el correo con una plantilla de reporte. También aceptamos reportes en inglés.
Contacto legible por máquina: security.txt
Qué enviar en el reporte
- Resumen: la falla en una frase y dónde está (URL, endpoint o panel).
- Pasos: para reproducir, en orden.
- Impacto: qué podría hacer un atacante.
- Prueba: captura de pantalla, video o solicitud, sin datos de otras personas.
- Nombre o apodo: si quieres aparecer en el salón de la fama.
Después del reporte
- Reporte
Nos envías el reporte por correo, con pasos, impacto y prueba.
- Triaje
Evaluamos el impacto, te mantenemos informado y acordamos la recompensa.
- Salón de la fama
Con tu aceptación, damos crédito público a quien ayudó.
Preguntas frecuentes
¿Necesito ser cliente para participar?
No. Cualquier investigador puede participar, siempre que siga las reglas.
¿Puedo probar con mi propia cuenta?
Sí, y es lo recomendado. Usa solo cuentas y datos tuyos. Para demostrar una falla que alcanza datos de otros, detente en el mínimo necesario y avísanos.
¿Cómo sabré si el reporte fue aceptado?
Respondemos por correo. Después del triaje informamos el impacto evaluado y la recompensa.
¿La recompensa es en dinero?
Sí. El valor depende del impacto de la falla y de la calidad del reporte.
¿Puedo publicar lo que encontré?
Acuerda con nosotros antes. Divulgamos juntos, de común acuerdo.
Salón de la fama
Todavía no hay nadie aquí. El primer reporte válido abre la lista, con el nombre o apodo que elijas.