¿Sin equipo de seguridad? Tienes un proceso y una guardia.

Puedes tener un programa de divulgación sin ofrecer recompensas. Publica tu canal de comunicación y tus reglas de prueba, y recibe los informes a través del formulario de recepción incluido. Las recompensas son opcionales.

Una política de divulgación dice a los investigadores qué entra en el alcance, qué reglas de prueba se aplican y cómo comunicar un hallazgo. Si prefieres trabajar primero con un grupo reducido, puedes empezar con un programa solo por invitación.

Sí. Activa el modo solo por invitación en la Configuración del portal de seguridad y comparte el enlace de acceso con los investigadores de confianza. El resto de visitantes ve un formulario para solicitar acceso. Aprueba una solicitud desde la barra lateral y la invitación se envía sola.

El formulario de recepción usa CAPTCHA y limitación de velocidad. Después, el cribado de informes marca el posible spam con una puntuación de confianza y los motivos. Tu equipo puede revisar esas evaluaciones.

El cribado con IA revisa cada informe en busca de señales como CVE inventados, funciones que no existen o lenguaje copiado de plantillas. Cada evaluación trae una puntuación de confianza y los motivos para revisarla. El cribado consume tu saldo de IA incluido; si se agota, los informes esperan sin cribar hasta que se renueva. El CAPTCHA y la limitación de velocidad protegen además el formulario de recepción.

Un formulario recoge informes. Con cada usuario tienes además seguimiento de SLA, puntuación CVSS, conversaciones con el investigador, registro de recompensas, gestión de documentos fiscales y exportaciones para auditoría, todo en el mismo sitio.

Sigue usándolo para gestionar el cumplimiento. La recepción y el triaje de informes se hacen en Kit. Los informes confirmados pueden sincronizarse con Vanta como prueba de vulnerabilidades, incluido su estado de resolución. No hay sincronización con Drata.

Una candidatura y un informe de vulnerabilidad necesitan lo mismo: un envío estructurado, un responsable, un plazo y un historial de decisiones. Las mismas piezas sirven para ambos, y nuestro propio programa de divulgación funciona sobre ellas.

Quien esté de guardia recibe un aviso. Asigna un responsable, evalúa la severidad con CVSS v3.1 y habla con el investigador en un único hilo. Los temporizadores de SLA vigilan los plazos, y la cronología se puede exportar para revisarla.

Tu equipo puede asignar informes y confirmar su recepción, resolver apelaciones, encargarse de informes de componente, aplazar recordatorios y marcar un informe como en espera del investigador. Cada acción comprueba la identidad de Slack vinculada y los permisos en Kit. Las novedades se quedan bajo una única tarjeta por informe.

Los informes restringidos no se publican en Slack. Si un informe existente pasa a restringido, se borran las respuestas del bot y la tarjeta se sustituye por un aviso sin título, sin identificador de informe y sin enlace. Los avisos de guardia siguen llegando por correo, sin detalles del informe.

Sí. Exporta un expediente del incidente en PDF con el resumen ejecutivo, la cronología, el desglose CVSS, el postmortem, el inventario de pruebas y la página de firmas.

Recepción, temporizadores de SLA, puntuación CVSS v3.1, tablero de triaje, mensajes con investigadores, registro de recompensas y exportaciones para auditoría vienen incluidos en el precio por usuario. Kit no trae una comunidad de investigadores. Antes de decidir, compara los planes actuales de cada proveedor y los investigadores que necesitas.

Sí. La exportación de la cuenta incluye programas, informes, evaluaciones, mensajes, recompensas, desembolsos, perfiles de investigadores y resultados del cribado en JSON estructurado. Solicítala en la Configuración de la cuenta y descarga el archivo en las 24 horas siguientes a que esté listo.