[Aviso importante de Seguridad] Se han detectado sitios web falsos de Qfinder Pro. Más información >
Search

Programa de recompensas por seguridad

QNAP está comprometida con la ciberseguridad y trabaja junto con socios y la comunidad de seguridad para garantizar la seguridad de los productos QNAP, brindando a los usuarios mayor tranquilidad y protegiendo los sistemas y datos de los productos. Para agradecer a los investigadores que descubren posibles problemas de seguridad y ayudan a mejorar la seguridad de los clientes, QNAP ofrece recompensas a través de su Programa de recompensas por seguridad.

Agradecimientos

Ámbito del programa

El Programa de recompensas solo acepta informes de vulnerabilidades de seguridad relacionadas con productos y servicios en línea de QNAP. Cualquier informe de seguridad fuera del ámbito de este Programa no se acepta bajo este Programa y no es elegible para una recompensa. Este Programa no acepta ni recompensa vulnerabilidades de seguridad encontradas en software de terceros (por ejemplo, QPKGs de terceros). Si descubre un problema de seguridad en dicho software, póngase en contacto y notifique directamente al proveedor o desarrollador correspondiente. Para otros problemas de seguridad que quedan fuera del ámbito de recompensa de este Programa pero que están relacionados con productos o servicios de QNAP, consulte el Política de divulgación coordinada de vulnerabilidades para saber cómo reportarlos.

  • Sistemas operativos

    Recompensa hasta 20.000 USD

    Los sistemas operativos desarrollados por QNAP — QTS, QuTS hero y QuTScloud — están cubiertos por este Programa.

  • Aplicaciones

    Recompensa hasta 10.000 USD

    Aplicaciones desarrolladas oficialmente por QNAP.

  • Servicios en la nube

    Recompensa hasta 5.000 USD

    Servicios en la nube proporcionados oficialmente por QNAP.

¿Cómo informar sobre problemas y vulnerabilidades de seguridad?

Por favor, cifre su correo electrónico utilizando el Clave pública PGP que aparece a continuación y envíelo a security@qnap.com. QNAP PSIRT se pondrá en contacto proactivamente con el investigador para confirmar la recepción.

Formato recomendado para el informe de vulnerabilidad

  • Sistemas operativos

  • Aplicaciones

  • Servicios en la nube

Clave de encriptado de PGP

Comunicar vulnerabilidad

Criterios de elegibilidad

  • Debe ser el primer investigador en informar de la vulnerabilidad.

  • No ha divulgado públicamente la vulnerabilidad.

  • El personal de QNAP confirma que la vulnerabilidad que ha reportado es verificable, reproducible y elegible para una recompensa.

  • Usted acepta plenamente y cumple con el Normas del programa de recompensas.

  • Si durante su investigación accedió a datos no públicos de QNAP o de sus usuarios, ha eliminado dichos datos conforme al Normas de conducta en las pruebas y manejo de datos y ha proporcionado una declaración escrita de eliminación dentro del plazo requerido.

Los montos de recompensa pueden ajustarse según lo siguiente:

Factores de bonificación

  • Siga el formato recomendado para el informe de vulnerabilidad: Proporcione información necesaria y suficiente sobre la vulnerabilidad. Formatos recomendados: Ejemplo de formato de sistema operativo, Ejemplo de formato de aplicación, Ejemplo de formato de servicio en la nube.

  • Pasos de reproducción: Pasos claros y detallados para reproducir.

  • Descripción del problema: Un informe de vulnerabilidad bien organizado con párrafos claramente estructurados.

  • Información complementaria: Elementos recomendados en los ejemplos de formato de informe de vulnerabilidad, u otra información útil como código de prueba, scripts u otras explicaciones detalladas.

  • Proporcione la carga útil completa del exploit en formato de texto: Si la carga útil se proporciona solo como imagen, el equipo de QNAP PSIRT no puede garantizar que se reproduzca correctamente. Si no se puede reproducir un ataque válido, la determinación de la vulnerabilidad puede invalidarse.

Factores de ajuste

  • Gravedad del problema y orden de revisión: QNAP PSIRT prioriza la verificación y la remediación según la gravedad del problema, dando prioridad a los problemas que tienen un impacto significativo en los datos y sistemas de los usuarios. La gravedad se determina por el Comité de Recompensas con referencia a la puntuación CVSS v3.1, combinada con la explotabilidad en el mundo real y el alcance del impacto. Los problemas calificados como de baja gravedad se revisarán después de los de alta gravedad. Todos los problemas confirmados que afecten a productos aún dentro de su periodo de soporte, independientemente de la gravedad, se incluirán en el calendario de remediación de QNAP.

  • Cantidad de recompensa según la gravedad: Las recompensas se otorgan según el nivel de gravedad asignado al problema. Las recompensas para problemas calificados como de baja gravedad se ajustarán en consecuencia y serán inferiores a las de problemas de alta gravedad dentro del mismo ámbito. La cantidad publicada para cada ámbito es el máximo para ese ámbito, no una cantidad garantizada para cada caso.

  • Si un problema se califica como de baja gravedad y es simplemente una sugerencia de mejora de seguridad que no causa daño real (por ejemplo, recomendaciones de configuración, divulgación de información de versión o ruta, recordatorios de buenas prácticas), y la verificación no puede demostrar que realmente se puede explotar para causar daño, no se otorgará recompensa. Sin embargo, sigue considerándose un problema válido y te incluiremos en nuestros reconocimientos públicos. Esto difiere de "no elegible para recompensa" (no aceptado y no reconocido); la principal diferencia entre ambos es si se proporcionan resultados de ejecución reales verificables. Para casos específicos que no sean elegibles para recompensa, consulta las "Notas" de cada ámbito.

  • Problemas duplicados y de mismo origen: Si se confirma que varios informes provienen de la misma causa raíz o del mismo camino de código, o pueden resolverse con la misma solución, QNAP PSIRT puede evaluarlos como un solo caso. La recompensa para un caso fusionado está limitada a una sola cantidad para el nivel al que pertenece el caso y no se acumula por el número de informes; la recompensa se otorga al primer informe completo recibido.

  • Informes posteriores del mismo tipo de problema: Los informes posteriores de un tipo de problema que QNAP ya haya aceptado o corregido (incluidos problemas del mismo tipo en diferentes interfaces, parámetros o módulos) pueden tratarse como variantes del caso existente. Estos informes seguirán siendo reconocidos individualmente como problemas válidos y se les asignarán individualmente IDs CVE, mientras que las recompensas se otorgarán para la clase de problema en su conjunto: del 1º al 10º informe de la misma clase de problema reciben la cantidad completa para su nivel; a partir del 11º informe, se otorga el 10% de la cantidad del nivel. El recuento es acumulativo entre todos los informantes, sin periodo de recuento separado. La "misma clase de problema" se determina por la misma clasificación CWE junto con el mismo componente funcional o el mismo patrón de código. QNAP PSIRT te informará de la determinación de variante y del número de secuencia acumulado actual para esa clase de problema en el correo de confirmación de vulnerabilidad. Si no estás de acuerdo, puedes escribirnos dentro de los 14 días naturales siguientes a la recepción del correo.

  • Integridad y reproducibilidad del informe: Para los informes en los que el informante no haya vuelto a verificar de forma independiente el problema, o solo haya proporcionado la salida bruta de una herramienta sin explicar el impacto real y cómo reproducirlo, QNAP PSIRT puede solicitar al informante que proporcione información adicional. Hasta que se proporcione la información adicional, el caso se revisará después de los casos con información completa.

  • Impacto real en la seguridad: Las recompensas se ajustarán en consecuencia para los problemas que sean puramente teóricos, requieran condiciones previas muy inusuales o no puedan demostrar un impacto sustancial en los datos y sistemas de los usuarios.

Agradecimientos

Gracias a todos los investigadores por su experiencia y dedicación.

Preguntas frecuentes

El mecanismo de recompensa y la cuantía de la misma son determinados por el Equipo de Revisión de Recompensas, compuesto por miembros de QNAP PSIRT, teniendo en cuenta los siguientes factores: la complejidad de explotar con éxito la vulnerabilidad y la amenaza que supone, incluido el porcentaje de usuarios y sistemas afectados.

Sí. Si un vídeo facilita la comprensión de cómo se explota la vulnerabilidad, el Comité de Recompensas puede aumentar la recompensa en consecuencia. Tenga en cuenta que se requiere documentación escrita (por ejemplo, un documento de PoC y una explicación completa), ya que esto ayuda a gestionar el proceso de divulgación de la vulnerabilidad.

Como mínimo, un informe de vulnerabilidad debe incluir: el nombre del producto afectado y su versión y número de compilación, o la URL del servicio en la nube; un resumen de la amenaza potencial de la vulnerabilidad; y pasos detallados y claros para reproducirla, opcionalmente acompañados de un vídeo para reproducir la vulnerabilidad.

Por favor, cifre su informe utilizando la clave pública PGP proporcionada por QNAP y envíelo a security@qnap.com. Una vez recibido el correo electrónico, el sistema responderá automáticamente con un número de ticket técnico, que el investigador podrá utilizar para comprobar el progreso de la revisión.

El equipo de PSIRT de QNAP se pondrá en contacto de forma proactiva con el investigador para confirmar si la presentación está completa. En los casos en los que la información esté completa y se evalúe inicialmente como de alta gravedad, el investigador, en principio, recibirá un correo electrónico de confirmación de vulnerabilidad de QNAP PSIRT en el plazo de una semana tras confirmar que la información está completa, incluyendo el ID de CVE asignado al informe.

La propuesta de recompensa se enviará por correo electrónico cuatro semanas después de la fecha en que se envió el correo de confirmación de vulnerabilidad. Si el investigador acepta la propuesta, QNAP prevé completar el pago en un plazo de doce semanas tras recibir la respuesta de confirmación.

Durante la verificación, el equipo de PSIRT de QNAP analiza la causa raíz de cada caso. Si se confirma que varios informes provienen de la misma causa raíz, la misma ruta de código o el mismo patrón de diseño, se tratarán como un solo caso y la recompensa se otorgará al primer informe completo recibido; si un informe posterior aporta información adicional sobre el impacto en la seguridad, también la tendremos en cuenta. Para problemas del mismo tipo que requieran una solución independiente, los reconoceremos individualmente y asignaremos IDs de CVE por separado; las recompensas se concederán para la clase de problema en su conjunto, recibiendo los informes del 1º al 10º el importe completo del nivel y, a partir del 11º informe, el 10% del importe del nivel. El recuento es acumulativo entre todos los informantes.

Sí. QNAP respeta todos los métodos de investigación; lo que nos importa es la calidad del informe en sí. Independientemente de las herramientas utilizadas, por favor, vuelva a verificar el problema usted mismo antes de enviarlo e incluya los pasos de reproducción y el impacto real en la seguridad en el informe. Para los informes que solo incluyan la salida sin procesar de la herramienta, no hayan sido verificados o no expliquen el impacto, es posible que le pidamos más información y se revisarán después de los casos con información completa. Los informes evaluados como sin impacto real en la seguridad no serán elegibles para recompensa.

QNAP prioriza los recursos para los problemas que tienen un impacto significativo en los datos y sistemas de los usuarios. Por lo tanto, los problemas de baja gravedad se verifican y responden después de los de alta gravedad, y las recompensas se ajustan según su nivel de gravedad. Esto no afecta la forma en que gestionamos el problema: todos los problemas confirmados se incluyen en el calendario de remediación. Si cree que la calificación no refleja el impacto real, envíe un correo electrónico a security@qnap.com con información que pueda aumentar la evaluación del impacto, como requisitos previos de menor privilegio, un mayor rango de versiones afectadas o una explicación de cómo el problema puede encadenarse con otros para formar una cadena de ataque completa.

Si su problema es una sugerencia de mejora de seguridad que no causa ningún daño real, igualmente le incluiremos en nuestros reconocimientos públicos, pero no se otorgará recompensa.

Por favor, detenga cualquier acceso adicional de inmediato. En la descripción del impacto de su informe, indique los nombres de las tablas o endpoints implicados, los nombres de los campos y el número de registros, y si es necesario adjunte una muestra enmascarada. No es necesario —y por favor no lo haga— adjuntar archivos de datos sin procesar.

Después de enviar su informe, elimine todas las copias en un plazo de 7 días naturales y envíe por correo electrónico una declaración de eliminación firmada indicando el alcance de los datos eliminados, la fecha y hora de la eliminación y el método utilizado, y confirmando que se han cubierto todas las ubicaciones de almacenamiento listadas en el Normas de conducta en las pruebas y manejo de datos. Esta declaración es un requisito previo para recibir una recompensa.

La declaración puede utilizar el nombre o alias de investigador que usó al informar; no se requiere ninguna otra prueba de identidad. Si las políticas de su organización le impiden firmar con su nombre personal, una persona de contacto de su organización puede emitirla en su nombre, o puede responder por correo electrónico confirmando cada punto. Si la declaración no se proporciona dentro del plazo, primero enviaremos un recordatorio por correo electrónico y suspenderemos la evaluación de la recompensa para el caso.

Describir con precisión el alcance de su acceso no afectará su elegibilidad para una recompensa; al contrario, ayuda a QNAP a evaluar con precisión el impacto y tomar las medidas necesarias.

Suscripción a Avisos de Seguridad

¡Recomendamos suscribirse a los Avisos de Seguridad de QNAP para recibir información de seguridad de primera mano!

Suscríbase ahoraCómo leer los avisos de seguridad

Última actualización: 31/08/2026. Los términos de este Programa pueden ajustarse periódicamente; prevalecerá la última versión publicada en esta página.

Elija especificación

      Mostrar más Mostrar menos
      Este portal en otros países / regiones:
      back to top