Tecnología
Metodología de bug bounty: auditar por funcionalidad, no por clase de vulnerabilidad
La distinción metodológica es práctica: en lugar de buscar XSS o IDOR de forma genérica, el investigador elige una función compleja, la usa como usuario real, y observa qué ocurre cuando se lleva al límite. Este enfoque lo ha llevado a especializarse en problemas de autorización y control de acceso, que siguen siendo las clases de mayor impacto incluso en funcionalidades impulsadas por IA. GitHub restructuró su programa este año para premiar calidad sobre volumen: los investigadores VIP pueden recibir hasta 30.000 dólares o más por hallazgos críticos y acceden a betas privadas antes del lanzamiento público. El programa exige al menos un hallazgo crítico, dos altos, cuatro medios o siete bajos resueltos para obtener invitación al nivel VIP.
Tu acción
Toma una funcionalidad compleja de tu producto que involucre autorización o permisos y mapea manualmente todos los estados posibles de acceso antes de tu próxima revisión de seguridad.