Guía para reportar vulnerabilidades

Recompensas por vulnerabilidades

Las vulnerabilidades válidas y verificadas dentro del alcance de Airnova pueden recibir recompensas de 5–1,000 USD.

Riesgo bajo

Alcance limitado, condiciones de explotación restrictivas e impacto real de seguridad reducido.

Riesgo alto

Puede causar acceso no autorizado, exposición de datos sensibles o evasión de permisos importantes, con impacto significativo en usuarios u operaciones.

Riesgo crítico

Puede permitir el control de sistemas centrales, la apropiación generalizada de cuentas, la exposición masiva de datos sensibles o un riesgo financiero importante, con alcance amplio o consecuencias graves.

El monto se evalúa según el impacto real, sin una cantidad fija por nivel de riesgo. Consideramos el alcance, la facilidad de explotación, los permisos necesarios y el impacto en cuentas, datos o fondos; comunicamos el nivel y la recompensa por correo.

El nivel se basa en la validación, no solo en el nombre de la vulnerabilidad o la calificación del reportante. Enviar un reporte no confirma por sí mismo una recompensa.

Qué problemas recibimos

Recibimos problemas reproducibles con impacto real en la seguridad de productos y servicios que Airnova posee u opera.

• El sitio oficial de Airnova y las API e interfaces de cuentas y pagos que operamos.
• Las apps oficiales de Airnova para iOS y Android.

Por ejemplo: fallas de control de acceso, apropiación de cuentas, exposición de datos sensibles, inyección, scripts entre sitios y fallas de autorización en pagos o pedidos.

Reporta problemas propios de plataformas de pago, operadores, tiendas de apps o sitios de compra externos a sus responsables. Sí recibimos problemas causados por la integración de Airnova. Para pedidos, reembolsos o conexión, contacta a soporte.

Qué incluir en el reporte

1. Título breve y sitio, API o versión de la app afectada
2. Fecha del hallazgo, entorno de prueba y requisitos previos
3. Pasos reproducibles, comportamiento esperado y resultado real
4. Impacto de seguridad y evidencia mínima o capturas con datos sensibles ocultos
5. Correo de respuesta y preferencia sobre un reconocimiento público

No envíes contraseñas, tokens completos, códigos de activación de eSIM, credenciales de pago ni datos personales de terceros. Si no puedes ocultar datos sensibles de forma segura, envía primero un resumen para acordar un método de transferencia.

Cómo atendemos los reportes

1. Recibir y aclarar

   Nos comunicamos por el contacto proporcionado y pedimos información si hace falta.

2. Reproducir y evaluar

   Verificamos la responsabilidad, las condiciones de reproducción, el alcance y la gravedad.

3. Corregir y verificar

   Coordinamos medidas y comunicamos avances según el riesgo y la validación.

4. Coordinar la divulgación

   Coordinamos la publicación tras una corrección o mitigación y damos reconocimiento solo con consentimiento.

Los tiempos dependen del impacto y la reproducibilidad. Esta página no promete plazos fijos de resolución.

Colaboración y divulgación

• Usa solo tus propias cuentas o entornos de prueba con autorización explícita y realiza las acciones mínimas necesarias para demostrar el problema.
• Evita interrumpir el servicio, destruir datos, usar ingeniería social o recopilar datos masivamente. Detén el acceso si encuentras datos de otras personas.
• Coordina una corrección o mitigación antes de publicar detalles que permitan explotar la falla. Esta página no otorga permisos adicionales de acceso o prueba.