Noviembre de 2025: este artículo se ha actualizado para reflejar el esquema más reciente de pago de bonificaciones. El pago máximo aumentó de $10 000 a $100 000.

Al igual que con Proton Mail, hemos creado Proton VPN con un énfasis en la seguridad. Hoy lanzamos un programa de recompensas por errores para mejorar aún más la seguridad de Proton VPN.

Al operar un servicio de VPN, la seguridad no solo es necesaria para las conexiones y los protocolos de VPN. También se necesita seguridad para la infraestructura de servidores subyacente, las páginas web y los paneles de control, las propias aplicaciones de VPN, el sistema de pago y también las bases de datos de usuarios. Para proteger adecuadamente la privacidad de los usuarios, debemos proteger todos los aspectos del servicio y evitar que se comprometan.

Al crear Proton VPN, nos basamos en la experiencia en seguridad que hemos adquirido al operar el servicio de correo electrónico seguro más grande del mundo(nueva ventana). También hemos trabajado junto con los colaboradores de seguridad de Proton Mail(nueva ventana) y con la comunidad en general para fortalecer todos los aspectos de Proton VPN. Recientemente, trabajamos junto con Mazin Ahmed(nueva ventana), colaborador de seguridad de Proton Mail desde hace mucho tiempo, para completar una auditoría de seguridad exhaustiva de Proton VPN y añadir protección adicional.

Nuestro programa de recompensas por errores nos permite ampliar el trabajo que ya realizamos a diario para proteger a los usuarios de Proton VPN. Por esta razón, ahora que Proton VPN se ha lanzado oficialmente, una de las primeras cosas que hacemos es lanzar el programa de recompensas por errores de Proton VPN. Con este programa, invitamos a especialistas en seguridad de todo el mundo a intentar encontrar puntos débiles en Proton VPN, y pagaremos recompensas (primas) por los problemas de seguridad que se nos reporten a través de este programa. Si usted es un investigador de seguridad, también puede participar en el programa de recompensas por errores de Proton Mail(nueva ventana).

Programa de recompensas por errores de Proton VPN

Reglas

Alcance: El programa se limita a los servidores y a las aplicaciones web, de escritorio y móviles que ejecuta Proton VPN. Nuestros perfiles en Facebook, Twitter, Linkedin, Eventbrite, etc. no califican. Los sitios que califican incluyen:

  • protonvpn.com
  • account.protonvpn.com
  • api.protonvpn.ch [Nota: .ch y no .com]

Las aplicaciones de Proton VPN para Windows, MacOS, Linux, iOS y Android también se incluyen en este programa.

Evaluación: El panel de evaluación que determina las recompensas está integrado por desarrolladores de Proton VPN y Proton Mail, con la asistencia de uno o más expertos externos que forman parte de nuestro grupo de seguridad. Los participantes del programa aceptan respetar la decisión final de los jueces.

Divulgación responsable: Solicitamos que todas las vulnerabilidades se nos informen a security@proton.me. Consideramos que va en contra del espíritu de este programa divulgar el fallo a terceros con fines distintos de la corrección real del error. Los participantes aceptan no divulgar los errores encontrados hasta que se hayan corregido y coordinar la divulgación con nuestro equipo a través de las notas de la versión para evitar confusiones.

Pruebas responsables: No hackee cuentas de usuarios, corrompa bases de datos ni filtre datos que puedan ser sensibles. Tampoco recomendamos las pruebas de vulnerabilidad que degraden la calidad del servicio para nuestros usuarios. Si tiene dudas, no dude en comunicarse con nuestro equipo de seguridad en security@proton.me.

Cumplimiento de las reglas: Al participar en este programa, usted acepta cumplir con las reglas y condiciones anteriores. Se deben seguir todas las reglas para ser elegible para las recompensas.

Vulnerabilidades calificadas

Es probable que cualquier problema de diseño o implementación que afecte sustancialmente la confidencialidad o la integridad de los datos de los usuarios esté dentro del alcance del programa. Esto incluye, pero no se limita a:

Aplicaciones web

  • Secuencias de comandos entre sitios
  • Falsificación de solicitudes entre sitios
  • Secuencias de comandos de contenido mixto
  • Fallos de autenticación o autorización
  • Errores de ejecución de código del lado del servidor
  • Vulnerabilidades de la API REST

Servidor

  • Acceso no autorizado al shell
  • Escalada de privilegios
  • Ejecución remota de código

Aplicaciones

  • Fallos de autenticación o autorización
  • Vulneración de seguridad de los datos locales (sin rootear)

Creemos en trabajar de cerca con los investigadores de seguridad y estamos abiertos a compartir detalles técnicos, como especificaciones de API, código fuente o detalles de la infraestructura, con investigadores seleccionados, con el objetivo de mejorar la seguridad para todos los usuarios de Proton Mail. Comuníquese con security@proton.me para obtener más detalles.

Mejoras calificadas

En ocasiones, se otorgan recompensas por sugerencias de mejora que no entran en ninguna de las categorías anteriores. Nuestro equipo lo determina caso por caso. Entre ellas se incluyen cosas como:

  • Mejoras en la configuración del servidor
  • Configuraciones del cortafuegos
  • Protección mejorada contra DoS y DDoS
  • Divulgación de rutas o información

Vulnerabilidades no calificadas

  • Fallos que afectan a navegadores desactualizados (lo sentimos, los problemas de seguridad de IE6 no califican)
  • Problemas de seguridad fuera del alcance del modelo de amenaza de Proton VPN
  • Suplantación(nueva ventana) o ataques de ingeniería social
  • Errores que requieren interacciones del usuario extremadamente improbables
  • Errores de WordPress (repórtelos a WordPress)
  • Software desactualizado: por diversas razones, no siempre ejecutamos las versiones de software más recientes, pero sí ejecutamos software que está completamente parcheado
  • Errores de software en OpenVPN o IKEv2 (repórtelos a sus autores)

Montos de las recompensas

El monto de la recompensa que pagamos se determina caso por caso y depende en gran medida de la gravedad del problema. Para recibir una recompensa, por lo general usted debe ser la primera persona en reportar un problema, aunque a veces se hacen excepciones. A continuación, se proporcionan lineamientos aproximados sobre las recompensas:

  • Recompensa máxima: USD 100 000.
  • Gravedad crítica: USD 25 000-USD 50 000. Detección de una vulnerabilidad que permite obtener un control no autorizado, total y sostenido del entorno del servicio, o que compromete la confidencialidad o la integridad de los datos de todos los usuarios sin requerir condiciones especiales ni acceso previo.
  • Gravedad alta: USD 2 500-USD 25 000. Detección de una vulnerabilidad que conduce a un control no autorizado y sostenido de una gran parte del entorno del servicio, o a una vulneración significativa de la confidencialidad o la integridad de los datos que afecta a un grupo amplio de usuarios, sin requerir condiciones especiales ni acceso previo, pero sin llegar a comprometer por completo el servicio.
  • Gravedad media: USD 1 000-USD 2 500. Detección de una vulnerabilidad que permite un control no autorizado de una parte del entorno del servicio, o que compromete la integridad o la confidencialidad de los datos de un usuario individual o de un grupo reducido. Como alternativa, vulnerabilidades con un impacto más amplio que requieren una interacción considerable del usuario o condiciones específicas, pero que aun así llevan a la exposición de datos o controles sensibles.
  • Gravedad baja: se evalúa caso por caso; por defecto no hay recompensa económica. Detección de una vulnerabilidad con un impacto limitado o con condiciones poco probables.

Pautas de reporte

Reporte los problemas a security@proton.me. Los problemas deben reportarse con instrucciones claras sobre cómo reproducirlos o una prueba de concepto.

Un cordial saludo,
El equipo de Proton