DataDome
datadome.co / canal público de reporte
Escribí un scraper que le gane a la protección anti-bots desde una sola IP. Las debilidades de configuración y los bugs web comunes explícitamente no son lo que paga.
Dentro de alcance
- bounty-nodejs.datashield.co
- bounty-fastly.datashield.co
- bounty-nginx.datashield.co
- js.datadome.co
- api-js.datadome.co
- *.captcha-delivery.com
Este programa no publica lista de activos, así que se toma como alcance todo lo que cuelgue del dominio principal. Leé la política antes de tocar nada.
Fuera de alcance
- Ingeniería social contra personal o clientes
- Intrusión física o pruebas en el lugar
- Denegación de servicio, pruebas de carga o agotar recursos
- Fuerza bruta de credenciales o password spraying
- Escaneo automático sin límite de velocidad
- Acceder a datos de usuarios reales
- scope.CLIENT_SIDE_WEB
- scope.DISTRIBUTED_ATTACKS
Qué esperamos de un reporte que sirva
Dentro del scope
Sus propios activos web públicos, lógica de login y sesión, APIs expuestas, límites entre cuentas, exposición de datos sensibles y configuraciones mal hechas con impacto que se pueda reproducir.
Fuera del scope
Ingeniería social, pruebas físicas, spam, denegación de servicio, fuerza bruta, dejar persistencia, malware, extorsión y meterse en datos que no son tuyos.
Calidad del reporte
Poné qué activo está afectado, la severidad, los pasos exactos, el impacto que viste y evidencia que no exponga a nadie. Cuanto más limpia la reproducción, más rápido lo puntuamos.
Verificación
Rooted revisa lo que mandás y puede coordinar con el programa. Los puntos salen recién cuando el hallazgo queda confirmado.