---
title: "Seguridad y Programa Bug Bounty | CubePath"
description: "Reporta vulnerabilidades de seguridad a CubePath. Nuestro programa de divulgación coordinada y bug bounty reconoce a los investigadores que ayudan a mantener segura nuestra infraestructura cloud."
language: es
source: https://cubepath.com/es/security
---

# Seguridad en CubePath

Nos tomamos muy en serio la seguridad de la infraestructura de nuestros clientes. Si has encontrado una vulnerabilidad, queremos saberlo, y trabajaremos contigo para corregirla.

Reportar una vulnerabilidad Ver el alcance del programa

< 72h

Primera respuesta

< 10 días

Triaje y validación

Todo

Producción en alcance

Safe Harbor

Investigación de buena fe

## Alcance del programa

Entra en el alcance todo lo que afecte a la confidencialidad, integridad o disponibilidad de los datos de nuestros clientes o de nuestros sistemas de producción.

### Dentro de alcance

- cubepath.com y todos los subdominios de producción
- Panel de cliente y panel de administración
- APIs públicas (api.cubepath.com) y flujos de identidad / SSO
- Autenticación, autorización y gestión de sesiones
- Aprovisionamiento de VPS / baremetal, facturación y lógica de cuotas
- Infraestructura expuesta a Internet operada por CubePath

### Fuera de alcance

- DoS / DDoS volumétrico, fuerza bruta o pruebas de carga
- Resultados de escáneres automáticos sin prueba de concepto funcional
- Sugerencias de buenas prácticas sin impacto (p. ej. cabeceras ausentes, SPF/DMARC)
- Vulnerabilidades en servicios de terceros que no operamos

Matriz de severidad

## Severidad y reconocimiento

Clasificamos los reportes por impacto usando CVSS como guía. A mayor impacto, mayor recompensa.

| Severidad | CVSS       | Ejemplos                                                                                              | Recompensa    |
| --------- | ---------- | ----------------------------------------------------------------------------------------------------- | ------------- |
| Crítica   | 9.0 - 10.0 | Ejecución remota de código, bypass de autenticación, toma total de cuenta, exposición masiva de datos | $300 - $1.000 |
| Alta      | 7.0 - 8.9  | Escalada de privilegios, IDOR sobre datos sensibles, XSS almacenado en el panel                       | $75           |
| Media     | 4.0 - 6.9  | CSRF con impacto, XSS reflejado, divulgación de información sensible                                  | $50           |
| Baja      | 0.1 - 3.9  | Problemas de impacto limitado, configuraciones menores                                                | $25           |

Los reportes válidos se recompensan según la tabla anterior, además de crédito público con tu consentimiento. El importe final depende del impacto, la explotabilidad y la calidad del reporte.

## Proceso de divulgación

Desde que envías el reporte, esto es lo que puedes esperar.

01

### Envío

Envía un reporte detallado con una prueba de concepto a través del formulario.

02

### Triaje

Acusamos recibo en 72 horas, reproducimos el problema y le asignamos una severidad.

03

### Corrección

Nuestros ingenieros corrigen la vulnerabilidad y te mantienen informado del progreso.

04

### Reconocimiento

Una vez resuelto, te damos crédito (con tu consentimiento) y coordinamos la divulgación.

## Reglas de participación

Ayúdanos a proteger a nuestros clientes siguiendo estas pautas durante tu investigación.

### Por favor, hazlo

- Aporta pasos claros para reproducir y una prueba de concepto
- Prueba únicamente contra tus propias cuentas y recursos
- Reporta los problemas en cuanto los descubras
- Limita el acceso a datos al mínimo necesario para demostrar el impacto
- Danos un tiempo razonable para corregir antes de divulgar

### Por favor, no lo hagas

- Acceder, modificar o borrar datos de otros usuarios
- Lanzar ataques DoS / DDoS o enviar spam
- Usar escaneo automático que degrade nuestros servicios
- Divulgar públicamente una vulnerabilidad antes de que se corrija

Safe Harbor

Consideramos autorizada la investigación de seguridad realizada de buena fe y conforme a esta política. No emprenderemos acciones legales contra investigadores que cumplan estas reglas. Si tienes dudas sobre si algo está permitido, pregúntanos antes en support@cubepath.com.

## Preguntas frecuentes

### ¿Cómo reporto una vulnerabilidad?

Usa el formulario de reporte de esta página. Incluye una descripción clara, la URL o endpoint afectado, los pasos para reproducir y una prueba de concepto. Tu reporte llega directamente a nuestro equipo de soporte.

### ¿Pagáis recompensas económicas?

Sí. Los reportes válidos y dentro de alcance reciben una recompensa económica según la severidad: desde $25 para problemas de bajo impacto hasta $300-$1.000 para hallazgos críticos, además de crédito público. El importe final depende del impacto y la calidad del reporte.

### ¿Cómo de rápido respondéis?

Acusamos recibo de los nuevos reportes en 72 horas y tratamos de triarlos y validarlos en un plazo de diez días laborables.

### ¿Puedo divulgar el problema públicamente?

Coordínalo primero con nosotros. Te pedimos que nos des un tiempo razonable para corregir el problema antes de cualquier divulgación pública, y con gusto te daremos crédito una vez resuelto.

### ¿Qué está fuera de alcance?

Quedan fuera de alcance el DoS/DDoS volumétrico, los resultados de escáneres automáticos sin prueba de concepto y las sugerencias de buenas prácticas sin impacto real.

## Reportar una vulnerabilidad

Envíanos los detalles y nuestro equipo de seguridad te responderá. Cuanta más información aportes, antes podremos validar y corregir el problema.

## Ayúdanos a mantener CubePath seguro

¿Has visto algo que no encaja? La divulgación responsable hace la plataforma más segura para todos.

Reportar una vulnerabilidad