🛡️ Security & Bug Bounty

Nuestro programa de responsible disclosure. Nos tomamos la seguridad muy en serio y premiamos a investigadores que nos ayuden a mantener la plataforma segura.

💰 Recompensas por severidad

Critical

500€ – 5000€

RCE, auth bypass, tenant break

High

200€ – 1000€

Priv escalation, data leak

Medium

50€ – 300€

XSS, CSRF, IDOR limitado

Low

10€ – 50€

Info disclosure, missing headers

✅ Scope

Todas las apps bajo *.freqtrade-lab.com
API pública (/api/*)
Webhooks salientes (verificación HMAC)
Multi-tenant isolation (breaking tenant boundaries)
Encriptación de secretos (vault)
OAuth flows (Google/Discord/GitHub)
Stripe integration (checkout, webhooks, Connect)

❌ Out of scope

Denegación de servicio (DoS/DDoS)
Ataques de ingeniería social a empleados
Vulnerabilidades en dependencias sin PoC específico
Recomendaciones de "best practices" sin explotabilidad
Falta de rate limiting en endpoints públicos no-auth
Reports automatizados de scanners sin verificación humana

📋 Reglas

Nunca accedas a datos de otros usuarios sin permiso
No interrumpas el servicio ni degrades el rendimiento
Danos tiempo razonable para arreglar antes de disclosure público (90 días típico)
Un vulnerabilidad = un report. No fusiones múltiples problemas
Reportes duplicados: prevalece el primero recibido
Sé profesional y colaborativo

⏱️ Nuestro SLA

Confirmación de recepción: 24h
Triage inicial: 72h
Fix critical/high: 7 días
Fix medium: 30 días
Pago de reward tras fix confirmado: 15 días

📮 Reportar vulnerabilidad

Email de contacto Severidad estimada Título (breve, específico) Descripción del problema Pasos para reproducir Impacto

🔑 Coordenadas seguras

Email PGP: security@freqtrade-lab.com
PGP fingerprint: (publicaremos aquí cuando estés listo)
security.txt: /.well-known/security.txt
Hall of fame: publicamos los top researchers cada trimestre (con permiso)