Programa Bug Bounty

Dentro del alcance

Esta versión del programa incluye:

• El sitio nexo.wiki.br. Páginas públicas, área con sesión iniciada, el juego en la web y las rutas en nexo.wiki.br/api.
• La API de NEXO en Supabase. REST, funciones RPC, Auth y Storage del proyecto al que llama el sitio (la dirección aparece en las solicitudes del propio sitio). Cuenta la configuración de NEXO: permisos, políticas de fila y funciones. Las fallas de la plataforma Supabase se reportan directamente a Supabase.

Ejemplos de lo que nos interesa: leer o modificar datos de otra cuenta, obtener Pro o Max sin pagar, volverse administrador, eludir la lógica del juego en el servidor, XSS almacenado, inyección SQL y claves secretas expuestas.

Fuera del alcance

• La app de iOS y el panel de administración.
• Servicios de terceros como Vercel, Supabase (la plataforma), Stripe, RevenueCat, Google, Apple y el proveedor de correo. Repórtalos directamente a ellos.
• Denegación de servicio, pruebas de carga, spam y fuerza bruta.
• Ingeniería social, phishing y acceso físico.
• Resultados de escáner sin prueba de impacto, versiones de software sin explotación demostrada y ausencia de cabeceras, SPF o DMARC sin impacto concreto.
• Errores en el contenido médico de un caso. No son fallas de seguridad: usa la página de contacto.

Reglas de prueba

• Usa solo cuentas tuyas. Para probar acceso entre cuentas, crea dos cuentas propias.
• Nunca leas, modifiques, borres ni descargues datos de otras personas. Si encuentras datos de terceros, detente, no guardes copia y repórtalo.
• Muestra el impacto con lo mínimo necesario: basta un registro, no una tabla.
• Mantén el volumen bajo, como máximo 5 solicitudes por segundo, sin escaneos masivos.
• No mantengas el acceso, no instales nada en el servidor y no uses la falla más allá de lo que prueba el problema.
• No pruebes pagos con la tarjeta de otra persona ni toques el ranking, los puntos o los logros de otros jugadores.
• Mantén la falla en reserva hasta la corrección.

Cómo reportar

Escribe a security@nexo.wiki.br con:

• qué encontraste y cuál es el impacto;
• los pasos para reproducirlo;
• solicitudes y respuestas, capturas o video;
• el correo de las cuentas de prueba que usaste;
• cómo quieres aparecer en los créditos (nombre o alias, enlace y país) o si prefieres el anonimato.

No envíes datos personales de otras personas. Respondemos en portugués, inglés, español, francés, alemán y ruso. Si el reporte incluye datos sensibles, envía solo lo mínimo y pide que acordemos un canal.

Qué esperar

• Recepción. Confirmación en un plazo de 3 días hábiles.
• Evaluación. En un plazo de 14 días te decimos si la falla es válida, su gravedad y si ya era conocida.
• Seguimiento. Novedades al menos cada 30 días hasta el cierre.
• Corrección. El plazo depende de la gravedad. Te avisamos cuando esté corregida y puedes repetir la prueba para confirmarlo.
• Duplicados. Cuando más de una persona reporta la misma falla, cuenta el primer reporte válido.

Divulgación coordinada: te pedimos que no publiques nada antes de la corrección. Si la corrección tarda más de 90 días desde la confirmación, acordamos la fecha juntos.

Safe harbor

• La investigación hecha de buena fe y dentro de esta política se considera autorizada.
• NEXO no iniciará ni apoyará acciones legales contra ti por esa investigación.
• Si alguien actúa contra ti por una investigación dentro de la política, NEXO informará que estaba autorizada.
• No aplica a quien incumpla las reglas, acceda a datos de otras personas a propósito o exija un pago bajo amenaza de divulgar la falla. Tampoco autoriza a probar servicios de terceros.
• Si dudas de si algo está dentro del alcance, pregunta antes por correo.

Reconocimiento

• Hall of Fame. Tu nombre o alias, enlace y país en esta página, si lo deseas.
• NEXO Max. Meses del plan más completo de NEXO en tu cuenta, según el impacto.
• Pago. Las fallas de impacto relevante pueden recibir un pago proporcional al impacto, acordado con el equipo caso por caso después de la comprobación. El pago lo procesa HackerOne, que pide al investigador el formulario fiscal y la verificación de identidad antes de transferir. No hay tabla de montos y la decisión de pagar y el monto corresponden a NEXO.
• Quien vuelve. Quien ya tuvo reportes confirmados recibe un bono sobre los meses de Max y sobre el pago.

El reconocimiento aplica al primer reporte válido de cada falla, dentro del alcance y de las reglas. El pago depende de los datos fiscales y de que la ley permita la transferencia a tu país.

Hall of Fame

Todavía no hay nombres. El primer reporte válido abre la lista.