|
Informar de una vulnerabilidad de seguridad

Informar de una vulnerabilidad de seguridad

PROGRAMA DE DIVULGACIÓN DE VULNERABILIDADES NUVEI

Si cree que ha descubierto una vulnerabilidad de seguridad en los productos o sitios web de Nuvei o de cualquiera de sus filiales, siga leyendo sobre cómo enviar un informe a nuestros equipos de seguridad para que lo investiguen.

Aunque apreciamos mucho los informes de la comunidad sobre problemas de seguridad, en este momento Nuvei no ofrece compensación monetaria por los informes de vulnerabilidad automatizados.

Cualquier fallo de seguridad o vulnerabilidad que pueda demostrarse que compromete la confidencialidad, integridad o disponibilidad de la información relacionada con nuestros clientes y nuestros secretos puede ser considerado para ser compensado.

Cualquier vulnerabilidad o potencial vulnerabilidad que descubra no podrá ser revelada públicamente o a terceros.

REQUISITOS DE ELEGIBILIDAD

  • Todas las vulnerabilidades deben ser nuevos descubrimientos y no conocidos previamente por Nuvei.
  • El remitente no debe residir en un país que figure en las listas de sanciones de Canadá o Estados Unidos.

PRUEBAS PROHIBIDAS

Las siguientes pruebas están prohibidas y serán objeto de notificación a las fuerzas del orden.

Pruebas automatizadas de cualquier tipo, incluidas, entre otras, las siguientes:

  • Fuerza bruta
  • Escaneado de laboratorios SSL
  • Escaneo ASV de terceros
  • Denegación de servicio

No intente llevar a cabo una explotación posterior, incluyendo la modificación o destrucción de datos y la interrupción o degradación de los servicios de Nuvei.

No intente dirigirse a los empleados o clientes de Nuvei utilizando métodos de ingeniería social, phishing o ataques físicos.

FUERA DE ÁMBITO

Las vulnerabilidades de seguridad no calificadas incluyen, pero no se limitan a:

  • Ingeniería social, phishing
  • Ataques físicos
  • Faltan los indicadores de las cookies
  • Suplantación de contenidos
  • Rastreos de pila, revelación de rutas, listados de directorios
  • Posibilidad de crear enlaces externos.
  • CSRF con mínimas implicaciones de seguridad.
  • Aplicación de la seguridad en el lado del servidor por parte del cliente
  • Falsificación del correo electrónico
  • Clickjacking en un sitio web estático
  • Ajustes de buenas prácticas
  • DOS/DDOS
  • Configuración del registro SPF
  • Política de contraseñas débil
  • Mejores prácticas de SSL/TLS