REGLAS DE ACTUACIÓN
Envía el formulario enlace a continuación con un informe detallado. El informe debe incluir información clara sobre los problemas de seguridad y su impacto. Los informes sin prueba de concepto (PoC) reproducible se archivarán como informativos.
El informe debe incluir, siempre que sea posible, lo siguiente:
- Enlace a la página con el fallo o a los productos o páginas web afectados (si procede)
- El tipo de error
- Las instrucciones paso a paso para reproducir y validar el fallo
- El impacto (por qué crees que es un error y qué problemas o perjuicios está causando)
- Recomendaciones para corregir o mejorar
Sigue estas indicaciones para presentar el informe:
- No intentes realizar una explotación posterior, incluidas la modificación o destrucción de los datos y la interrupción o degradación de los servicios de Xsolla
- No intentes realizar ataques de fuerza bruta, ataques de denegación de servicio, comprometer o hacer pruebas con cuentas de Xsolla que no sean tuyas
- No intentes atacar a los empleados de Xsolla o a sus clientes, incluidos los ataques de ingeniería social, los ataques de phishing o los ataques físicos
- No realices ataques físicos contra ninguna instalación de Xsolla
Asegúrate de utilizar la cadena de agente de usuario xsolla-bugbounty-%your-email-before@% cuando hagas las pruebas
Se permite el uso limitado de escáneres o herramientas automatizados si se aplica el agente de usuario anterior y los escáneres o herramientas están configurados para no enviar más de 15 solicitudes por segundo a un servicio concreto
El uso de herramientas de escaneo sin la cadena de agente de usuario mencionada puede provocar el bloqueo de tu cuenta/IP por protecciones automáticas. Puede llevar tiempo restablecerlas, así que asegúrate de incluirla.
Una vez enviado, te enviaremos una respuesta automática para confirmar que hemos recibido tu informe y pedirte más información si es necesario. Revisaremos los datos y trabajaremos para validar el error notificado. Si se descubre un verdadero fallo, te lo comunicaremos.
Al enviar un informe de fallos, acepta cumplir con la Política del Programa de Recompensas de Xsolla, la cual prohíbe que se revelen los detalles de cualquier vulnerabilidad o error de Xsolla, ya sea de forma pública o privada, hasta que pasen 30 días después de que el error se corrija.
Al participar en este programa, acepta respetar las normas y condiciones indicadas previamente. Todas las normas se deben seguir para tener derecho a una recompensa.