Tu primer programa de divulgación de vulnerabilidades. Activo en 5 minutos.

Un VDP no es un programa de recompensas: no estás ofreciendo dinero. Es un canal documentado y conforme para que los investigadores comuniquen vulnerabilidades. SOC 2 Tipo II, las aseguradoras cibernéticas y los clientes empresariales piden cada vez más la prueba de que lo tienes. El nivel gratuito de Kit te da exactamente eso, sin ningún compromiso de pago.

Los investigadores ya están mirando. Lo que cambia un VDP es dónde acaba el hallazgo. Sin unas condiciones de puerto seguro (Safe Harbor) publicadas, avisarte es un riesgo legal, así que el investigador bienintencionado lo cuenta en público. Publica las condiciones y acudirán a ti primero.

Sí. Pon tu portal en modo solo por invitación desde la Configuración del portal de seguridad y Kit genera un token de acceso secreto. Comparte la URL de invitación directamente con los investigadores de confianza. Al hacer clic les deja una sesión persistente. Quien llegue al portal sin ella ve un breve formulario de solicitud de acceso en lugar de un callejón sin salida. Las solicitudes pendientes aparecen en tu barra lateral con un distintivo; un clic aprueba la solicitud y le envía al investigador su enlace de invitación.

El formulario de recepción de Kit pasa el CAPTCHA y la limitación de velocidad, y luego puntúa lo que sobrevive buscando CVE inventados, funciones alucinadas y lenguaje de plantilla. Más del 80 % del ruido se filtra antes de llegar a tu cola.

Cada informe entrante se criba con una puntuación de confianza y señales identificadas: CVE inventados, funciones alucinadas, lenguaje de plantilla. Los informes señalados se marcan para revisión antes de costarle un minuto a tu equipo. Sumado al CAPTCHA y a la limitación de velocidad, más del 80 % del ruido no llega nunca a tu cola.

Un formulario te da la recepción. No te da seguimiento de SLA, puntuación CVSS, historial de estados, hilos de comunicación con el investigador, pagos de recompensas, gestión de documentos fiscales ni exportación SOC 2 con un clic. Kit trae todo eso junto, así que le dedicas una tarde a desplegarlo en vez de un sprint de ingeniería a construirlo.

Perfecto. Vanta y Drata comprueban que tienes un VDP. Kit lo hace funcionar. Activa el VDP de Kit, apunta tu herramienta de cumplimiento a tu security.txt publicado y la casilla queda marcada con un programa real detrás. Con el complemento, Kit además sincroniza los informes confirmados en Vanta como prueba de vulnerabilidades para SOC 2 CC7.1 e ISO 27001 A.8.8. Resuelve un informe en Kit y Vanta lo registra como remediado en la siguiente sincronización.

Kit empezó en contratación, pero la maquinaria de debajo es la misma: recepción estructurada, un reloj de SLA, una exportación para auditoría. El VDP la apunta a otra cola. Nuestro propio programa de divulgación funciona sobre ella.

Cuando llega un informe crítico, Kit avisa a tu equipo de inmediato. A partir de ahí: lo clasificas, lo puntúas con CVSS v3.1, hablas con el investigador en un único hilo, le asignas un responsable y lo pones a correr contra el reloj del SLA. Cuando tu auditor pida pruebas, se exporta la cronología entera.

Triaje. Cada informe publica una única tarjeta que Kit edita en el mismo mensaje, con el historial colgando de su hilo. Desde Slack tu equipo puede asignarse un informe, confirmar su recepción (lo que detiene el reloj de acuse de recibo del SLA), aceptar o rechazar una apelación, encargarse de un informe de componente, aplazar un recordatorio de estancamiento o marcarlo como en espera del investigador. Cada clic se vuelve a autorizar contra la identidad de Slack confirmada de quien lo pulsa y con las mismas comprobaciones de permisos que la aplicación.

Marca un informe como restringido y no se publica en Slack: ni tarjeta, ni hilo. La audiencia de un canal no es un permiso de Kit, así que nada sensible queda jamás confiado a la higiene del canal. Si un informe pasa a restringido cuando su hilo ya existe, Kit convierte el hilo en una lápida. Las respuestas del bot se borran y el mensaje raíz se sustituye por un aviso neutro sin título, sin identificador de informe y sin enlace. Los avisos de guardia siguen saliendo para que el reloj del SLA no quede huérfano, pero solo por correo y sin ningún detalle del informe en la alerta.

Sí. Cada informe se exporta como un expediente de incidente en PDF: resumen ejecutivo, cronología completa, desglose CVSS, postmortem, manifiesto de evidencia y página de firmas. Un clic, un archivo, listo para la carpeta de la auditoría.

HackerOne y Bugcrowd ofrecen formularios de envío gratuitos. El nivel gratuito de Kit también. La diferencia está en lo que pasa después de que llega un informe: Kit añade relojes de SLA, puntuación CVSS v3.1, triaje en kanban, un hilo con el investigador, el desembolso de recompensas y exportaciones SOC 2 por $49/mes sobre el puesto. Y cuando se te quede pequeño, el historial completo de tu programa se exporta en CSV o PDF — resúmenes de informes, puntuaciones CVSS, cumplimiento de SLA, registros de comunicación y el libro mayor.

Sí. La exportación completa de la cuenta empaqueta cada registro del VDP — programas, informes, evaluaciones, mensajes, recompensas concedidas, desembolsos, perfiles de investigadores y resultados del cribado — en JSON estructurado. Un clic desde la Configuración de la cuenta. Tienes 7 días para descargar el archivo. Tu historial de seguridad es tuyo.