Ir al contenido principal

Condiciones para la notificación de vulnerabilidades

Última actualización: September 2025

Las presentes Condiciones rigen el programa CNA y de recompensa por errores de Tanium y prevalecen sobre las directrices y condiciones de HackerOne en caso de que existan disposiciones contradictorias. El programa «Bug Bounty» de Tanium cuenta con una serie de condiciones complementarias y requisitos de ámbito de aplicación que se detallan a continuación. Al notificar una vulnerabilidad en el marco de cualquiera de estos programas, usted reconoce y acepta las siguientes condiciones.

Directrices para la presentación de informes

  • Proporcione informes detallados con pasos que se puedan reproducir. Asegúrese de incluir el nombre y el número de versión del producto de Tanium afectado, la naturaleza y el impacto del posible problema, así como cualquier prueba o demostración de concepto (PoC) relacionada que sea necesaria.
  • Queda prohibida la ingeniería social (por ejemplo, el phishing, el vishing o el smishing).
  • Haga todo lo posible, de buena fe, para evitar violaciones de la privacidad, la destrucción de datos y la interrupción o el deterioro de nuestro servicio. Interactúe únicamente con cuentas de las que sea titular o con el permiso explícito del titular de la cuenta.
  • Destruya de forma segura cualquier información confidencial que haya podido obtener.
  • Usted concede a Tanium todos los derechos necesarios sobre los informes.
  • Usted ha leído y aceptado la Política de divulgación de vulnerabilidades de Tanium y reconoce que Tanium se reserva plena discrecionalidad para interpretar y aplicar los términos del programa, incluida la elegibilidad de cualquier persona para recibir las recompensas del programa o la modificación de las mismas.
  • Usted está facultado para participar en este programa y ha obtenido de su empresa todas las autorizaciones necesarias para recibir los premios otorgados; además, al hacerlo, cumple con todas las leyes y normativas aplicables, así como con las políticas de su empresa en materia de aceptación de cualquier recompensa.

Fuera del ámbito de aplicación

Al informar de vulnerabilidades, le rogamos que tenga en cuenta el escenario de ataque o la posibilidad de explotación, así como el impacto en la seguridad que tiene el fallo. Por ejemplo, se considera que los siguientes temas quedan fuera del ámbito de aplicación:

  • Clickjacking en páginas que no contienen acciones sensibles.
  • CSRF sin autenticación/cierre de sesión/inicio de sesión.
  • Falta de buenas prácticas de configuración sin una prueba de concepto operativa.
  • Ataques de denegación de servicio (DoS) contra nuestros sitios web.
  • Técnicas de spam o de ingeniería social.
  • Contenido de Tanium Labs.
  • Vulnerabilidades en integraciones de Tanium con terceros, incluidas aplicaciones, servicios o sensores.
  • Vulnerabilidades que solo pueden ser explotadas si alguien configura de forma errónea, insegura o implementa de forma insegura nuestros productos de manera intencionada.
  • Vulnerabilidades en las implementaciones genéricas de las tecnologías o bibliotecas que utilizamos. En algunos casos, Tanium recurre a tecnologías de terceros de forma limitada para implementar nuestras soluciones. Las vulnerabilidades en las implementaciones genéricas de tecnologías de terceros quedan fuera del ámbito de aplicación, salvo que se determine que existe una vulnerabilidad en la implementación de Tanium.

Cláusula de exención de responsabilidad

Cualquier actividad que se lleve a cabo de conformidad con esta política se considerará una conducta autorizada por Tanium. En caso de que un tercero emprenda acciones legales contra usted en relación con actividades realizadas al amparo de la presente política, tomaremos las medidas necesarias para dejar claro que sus acciones se llevaron a cabo de conformidad con la presente política.

Directrices para la notificación de fallos en el programa de recompensas por fallos de seguridad

Las vulnerabilidades comunicadas a través del programa de recompensas por errores de Tanium también están sujetas a estas directrices de notificación adicionales:

  • Si el informe no es lo suficientemente detallado como para reproducir el problema, este no podrá optar a una recompensa.
  • Envíe una vulnerabilidad por informe, a menos que necesite encadenar varias vulnerabilidades para ilustrar su impacto.
  • Cuando se producen duplicados, solo se tiene en cuenta el primer informe recibido (siempre que pueda reproducirse íntegramente).
  • Las vulnerabilidades múltiples causadas por un mismo problema subyacente darán derecho a una sola recompensa.
  • La participación en el programa de Tanium no da lugar a una relación laboral.

Ámbito del programa de recompensas por errores

Los siguientes recursos entran dentro del ámbito del programa de recompensas por errores:

  • Cualquier vulnerabilidad incluida en el ámbito de aplicación de Tanium CNA
  • Dominios específicos del cliente relacionados con la instancia de cliente «bugbounty». Estos son
    • bugbounty.cloud.tanium.com
    • bugbounty-api.cloud.tanium.com
    • portal.bugbounty.cloud.tanium.com
  • Cualquier sitio web de acceso público del dominio tanium.com (por ejemplo, tanium.com, developer.tanium.com, docs.tanium.com) que no esté relacionado explícitamente con un cliente concreto.

Los siguientes recursos quedan excluidos del ámbito de aplicación del programa « » para las pruebas del programa de recompensas por errores:

  • Recursos de Tanium alojados en la nube o en las propias instalaciones que pertenecen a un cliente concreto de Tanium. Esto incluye todos los dominios que se ajusten a los siguientes patrones:
    • *.cloud.tanium.com
    • *-api.cloud.tanium.com
    • portal.*.cloud.tanium.com

Recompensas del programa de búsqueda de fallos

Nuestras recompensas se basan en diversos factores, entre los que se incluyen la gravedad según la norma CVSSv3 (Estándar Común de Puntuación de Vulnerabilidades) y el activo afectado. Tenga en cuenta que estas son directrices generales y que las decisiones relativas a las recompensas quedan a discreción de Tanium.

Es posible que las siguientes personas no cumplan los requisitos para recibir determinadas recompensas, incluidas las recompensas económicas:

  • Los empleados y contratistas de Tanium, así como cualquier otro trabajador que preste servicios a Tanium.
  • Empleados y contratistas de clientes o clientes potenciales de Tanium, y cualquier otro trabajador que preste servicios para un cliente o cliente potencial de Tanium que identifique una vulnerabilidad como parte de sus responsabilidades laborales normales.
  • Residentes de cualquier país embargado y sancionado según lo promulgado por el Gobierno de los Estados Unidos, que actualmente incluye Cuba, Irán, Corea del Norte, Siria, Rusia, Bielorrusia y ciertas regiones cubiertas de Ucrania, y cualquier otro Nacional Especialmente Designado identificado por la Oficina de Control de Activos Extranjeros de EE. UU., según se actualice periódicamente.
  • Los familiares inmediatos de, o las personas que residen en el mismo hogar que, cualquiera de las personas descritas anteriormente.

¡Gracias por ayudar a mantener seguros a Tanium y a nuestros usuarios!