Programa Bug Bounty

Esta versión del programa incluye:

• El sitio nexo.wiki.br

  Páginas públicas, área con sesión iniciada, el juego en la web y las rutas en nexo.wiki.br/api.

• La API de NEXO en Supabase

  REST, funciones RPC, Auth y Storage del proyecto al que llama el sitio (la dirección aparece en las solicitudes del propio sitio). Cuenta la configuración de NEXO: permisos, políticas de fila y funciones. Las fallas de la plataforma Supabase se reportan directamente a Supabase.

Ejemplos de lo que nos interesa: leer o modificar datos de otra cuenta, obtener Pro o Max sin pagar, volverse administrador, eludir la lógica del juego en el servidor, XSS almacenado, inyección SQL y claves secretas expuestas.

• La app de iOS y el panel de administración.
• Servicios de terceros como Vercel, Supabase (la plataforma), Stripe, RevenueCat, Google, Apple y el proveedor de correo. Repórtalos directamente a ellos.
• Denegación de servicio, pruebas de carga, spam y fuerza bruta.
• Ingeniería social, phishing y acceso físico.
• Resultados de escáner sin prueba de impacto, versiones de software sin explotación demostrada y ausencia de cabeceras, SPF o DMARC sin impacto concreto.
• Errores en el contenido médico de un caso. No son fallas de seguridad: usa la página de contacto.

• Usa solo cuentas tuyas. Para probar acceso entre cuentas, crea dos cuentas propias.
• Nunca leas, modifiques, borres ni descargues datos de otras personas. Si encuentras datos de terceros, detente, no guardes copia y repórtalo.
• Muestra el impacto con lo mínimo necesario: basta un registro, no una tabla.
• Mantén el volumen bajo, como máximo 5 solicitudes por segundo, sin escaneos masivos.
• No mantengas el acceso, no instales nada en el servidor y no uses la falla más allá de lo que prueba el problema.
• No pruebes pagos con la tarjeta de otra persona ni toques el ranking, los puntos o los logros de otros jugadores.
• Mantén la falla en reserva hasta la corrección.

Escribe a security@nexo.wiki.br con:

• qué encontraste y cuál es el impacto;
• los pasos para reproducirlo;
• solicitudes y respuestas, capturas o video;
• el correo de las cuentas de prueba que usaste;
• cómo quieres aparecer en los créditos (nombre o alias, enlace y país) o si prefieres el anonimato.

No envíes datos personales de otras personas. Respondemos en portugués, inglés, español, francés, alemán y ruso. Si el reporte incluye datos sensibles, envía solo lo mínimo y pide que acordemos un canal.

• La investigación hecha de buena fe y dentro de esta política se considera autorizada.
• NEXO no iniciará ni apoyará acciones legales contra ti por esa investigación.
• Si alguien actúa contra ti por una investigación dentro de la política, NEXO informará que estaba autorizada.
• No aplica a quien incumpla las reglas, acceda a datos de otras personas a propósito o exija un pago bajo amenaza de divulgar la falla. Tampoco autoriza a probar servicios de terceros.
• Si dudas de si algo está dentro del alcance, pregunta antes por correo.

• Hall of Fame

  Tu nombre o alias, enlace y país en esta página, si lo deseas.

• NEXO Max

  Meses del plan más completo de NEXO en tu cuenta, según el impacto.

• Pago

  Las fallas de impacto relevante pueden recibir un pago proporcional al impacto, acordado con el equipo caso por caso después de la comprobación. Se paga desde la cuenta de APHELIOS TECNOLOGIA LTDA, empresa responsable de NEXO: por PIX a quien vive en Brasil y por PayPal a quien vive fuera de Brasil. La decisión sobre el pago a través de HackerOne aún está pendiente. Antes de hacer la transferencia, pedimos los datos de identificación y fiscales que exige el pago. No hay tabla de montos, y la decisión de pagar y el monto corresponden a NEXO.

• Quien vuelve

  Quien ya tuvo reportes confirmados recibe un bono sobre los meses de Max y sobre el pago.

El reconocimiento aplica al primer reporte válido de cada falla, dentro del alcance y de las reglas. El pago depende de los datos fiscales y de que la ley permita la transferencia a tu país.

Todavía no hay nombres. El primer reporte válido abre la lista.