# Qué hace Kit Security. Recibe informes de vulnerabilidades, informa a los investigadores y sigue la respuesta del equipo. [Funciones de seguridad y VDP | Kit](https://startupkit.app/es/security/features) ## Recibe y evalúa informes Un investigador envía un hallazgo. Tu equipo tiene las pruebas, el responsable y la siguiente decisión. ### Envía el hallazgo sin cuenta. Informes de vulnerabilidades El investigador describe el problema y el endpoint afectado y adjunta pruebas. El correo es opcional. - Recoge título, tipo de vulnerabilidad, endpoint y descripción. - Añade pasos de reproducción, severidad declarada y archivos de apoyo. - Registra la aceptación de la política y entrega un justificante tras el envío. Hasta 10 archivos, cada uno de menos de 25 MB y menos de 50 MB en total. Los informes sin correo conservan metadatos del envío; las novedades por correo y la identidad en el portal requieren una dirección. ### Da a los investigadores un punto de partida. Portal de seguridad con tu marca Reúne la descripción del programa, el formulario y la política en un portal de seguridad con tu marca. - Elige logotipo, colores, lema y visibilidad de la marca. - Usa el alojamiento de Kit o un dominio de seguridad propio y verificado. - Completa la configuración, previsualiza borradores y activa o pausa la recepción. Un programa de seguridad por cuenta. Las visitas públicas requieren un programa activo; los dominios propios requieren acceso a Seguridad en la suscripción. ### Define qué pueden probar los investigadores. Alcance y política de divulgación Publica los objetivos admitidos, las exclusiones y las reglas de divulgación junto al formulario. - Enumera los objetivos incluidos, las áreas excluidas y los tipos de vulnerabilidad. - Copia el alcance configurado en Markdown. - Publica la política de divulgación, el texto opcional de puerto seguro (Safe Harbor) y las pautas de participación. El puerto seguro es un compromiso de tu política. Las comprobaciones de alcance usan las cadenas de objetivos y los tipos de vulnerabilidad configurados; Kit no descubre tu superficie de ataque. ### Obtén una referencia y un justificante. Justificantes de envío El enlace del justificante permite al investigador volver al contenido enviado y consultar su estado actual. - Copia la referencia del informe y consulta la hora del envío. - Vuelve a leer la descripción y los pasos de reproducción. - Consulta los nombres de los adjuntos sin exponer enlaces de descarga. Los enlaces del justificante dan acceso a quien los tenga durante 90 días. El justificante excluye las notas internas y es independiente de la conversación autenticada. ### Sigue el informe desde un enlace por correo. Portal privado del investigador El investigador accede por correo para consultar sus informes, evaluaciones y recompensas en los programas participantes. - Abre un enlace mágico y confirma la identidad del investigador. - Consulta las pruebas, el estado, la severidad fijada por el equipo y la puntuación CVSS evaluada. - Crea un nuevo informe para un programa público activo. Requiere un registro de investigador existente. Los enlaces de acceso caducan a los siete días y los nuevos sustituyen a los anteriores. Las notas internas, los vectores CVSS del personal y las herramientas privadas del equipo quedan ocultos. ### Conserva la respuesta junto al hallazgo. Conversación con el investigador Intercambia mensajes sobre el informe con el investigador. Las respuestas enviadas por el equipo llegan por correo y aparecen en el portal privado. - Sigue los mensajes en directo por orden de envío. - Pide aclaraciones en la misma conversación. - Controla los mensajes sin leer de cada miembro del equipo por separado. Las notas internas y los borradores sin enviar son privados. El envío de mensajes desde el portal se cierra en los informes desestimados o pagados. ### Abre los informes que requieren atención. Cola de respuesta Revisa los informes abiertos, las respuestas pendientes y el trabajo sin asignar en una lista o un tablero de estados. - Alterna entre todos, los míos y el equipo; consulta los avisos de Seguridad en Inicio y los resúmenes diarios si están activados. - Busca por ID o título; filtra por estado, severidad, responsable y resultado del cribado. - Ordena por SLA o fecha de envío; asigna o desestima varios informes a la vez. Los recuentos respetan el acceso a los informes; la búsqueda por título revisa los 500 informes visibles más recientes. Los resúmenes de Inicio respetan las preferencias y omiten las colas rutinarias vacías o sin cambios. Abre los informes y las acciones permitidos desde OmniSearch. ### Compara lo declarado con la evaluación. Severidad y CVSS Construye un vector base CVSS y registra la severidad del equipo, quién la evalúa y su razonamiento. - Usa la calculadora base CVSS v3.1. - Compara la severidad declarada por el investigador con la decisión del equipo. - Consulta la sugerencia del intervalo de recompensa configurado. La calculadora actual usa las métricas base de CVSS v3.1. El personal realiza la evaluación. ### Pon un nombre junto a la siguiente acción. Responsable del informe Asigna un responsable de respuesta y conserva el historial cuando cambie. - Elige un único responsable activo para el informe. - Usa una asignación predeterminada o de guardia. - Conserva los traspasos registrados entre responsables. La asignación por sí sola no concede acceso a un informe restringido. ### Mantén el plazo junto al informe. Objetivos y plazos de respuesta Publica tus objetivos de acuse de recibo y resolución por severidad y muestra el plazo de respuesta en la cola del equipo. - Muestra los objetivos configurados en la política y en llms.txt. - Consulta una cuenta atrás en directo con estados dentro de plazo, en riesgo y vencido. - Prioriza la cola según el plazo de respuesta. El plazo en directo comienza con el envío y sigue corriendo en los estados abiertos. Los objetivos de resolución permiten umbrales de inactividad y análisis retrospectivos; son compromisos configurados, sin garantía de personal de respuesta disponible. ### Registra el resultado y su motivo. Decisiones de triaje Desestima un informe con un motivo concreto, registra un resultado informativo o reábrelo mediante una transición registrada. - Elige motivos de duplicidad, alcance o reproducción. - Conserva el razonamiento privado junto a la decisión. - Guarda la transición en la cronología del informe. El personal controla la decisión. Informativo es un resultado independiente. ## Mantén la respuesta en marcha Reúne respuestas, notas internas, asignación y trabajo de guardia junto al informe. ### Lee las notas junto al historial del informe. Notas e historial del equipo Comenta el hallazgo en privado y sigue las personas, decisiones y traspasos registrados en el informe. - Escribe notas generales, de evaluación o de decisión; menciona al equipo y fija una nota. - Consulta quién ha abierto el informe y su acceso más reciente. - Sigue los eventos de estado, severidad, responsable, mensajes, análisis posteriores, accesos compartidos e integraciones. Solo el equipo autorizado puede ver las notas. Se puede desactivar el registro de visitas. Una acción o visita registrada no demuestra que se haya corregido ni atendido el problema. ### Lee la respuesta antes de enviarla. Borradores de respuesta revisables Guarda una respuesta sin enviar para que el equipo la edite. Pide una sugerencia o pule el texto en el editor. - Comparte un único borrador abierto con el registro de edición y envío. - Recibe un aviso si el investigador ha respondido desde que se creó el borrador. - Usa el contexto de la conversación para las sugerencias, con una plantilla si no está disponible. Los borradores no cuentan como respuestas enviadas. Por defecto, las respuestas del agente en la conversación quedan como borradores sin enviar. Un administrador del programa puede activar el envío directo. Los cambios autorizados de estado o recompensa pueden seguir generando las notificaciones habituales. Un agente no puede sustituir el trabajo humano sin avisar. ### Previsualiza la plantilla de respuesta. Plantillas de mensajes Personaliza las respuestas y previsualiza las variables del informe y del investigador antes de llevar el mensaje al editor. - Prepara acuses de recibo, aclaraciones, validaciones, desestimaciones y ofertas de recompensa. - Define valores predeterminados de la cuenta y excepciones por programa. - Previsualiza el texto con las variables resueltas antes de guardar o enviar. Se pueden gestionar once tipos de plantilla, pero el editor usa plantillas para cinco tipos de respuesta. Los correos automáticos de acuse de recibo, cambio de estado y acceso usan plantillas fijas. ### Escribe al investigador en nombre de tu programa. Identidad de correo del programa Adapta los avisos al portal y usa tu dirección de seguridad cuando la conexión de correo esté lista. - Aplica el nombre del programa, el logotipo de la cuenta y los colores de marca. - Crea una identidad security@ mediante una integración de correo lista para usar. - Envía desde tu dirección con el envío delegado de Startupkit Email activo. Tu dirección de remitente requiere el envío delegado de Startupkit Email activo y DKIM. En caso contrario, se usa una dirección de Kit. El correo entrante no crea informes de seguridad ni actualiza conversaciones. ### Compara el hallazgo antes de marcarlo como duplicado. Informes relacionados Consulta los informes relacionados del mismo programa junto al hallazgo actual. - Abre las sugerencias de posibles duplicados e informes relacionados. - Usa coincidencias del mismo tipo cuando no haya embeddings disponibles. - Sigue enlaces directos a informes a los que tengas acceso. La similitud propone una comparación; el personal decide si hay duplicidad. Los informes restringidos siguen ocultos para los miembros sin autorización. ### Lee los motivos de la alerta. Cribado de calidad del informe Revisa una recomendación sobre la calidad, su confianza y señales concretas junto a las pruebas enviadas. - Consulta recomendaciones de aprobar, revisar o marcar. - Examina los problemas de calidad indicados. - Filtra la bandeja por resultado del cribado. El cribado requiere un proveedor configurado y créditos. Las recomendaciones no desestiman informes. ### Detecta instrucciones dirigidas al asistente. Avisos de inyección de prompts Muestra posibles técnicas de inyección de prompts y su ubicación en los informes y mensajes escritos por investigadores. - Lee el veredicto, la técnica y el campo o mensaje afectado. - Distingue los informes de vulnerabilidades de los envíos de seguimiento, contacto, soporte o prueba. - Incluye el aviso en las lecturas autorizadas del asistente y de MCP. Las comprobaciones pueden no estar disponibles. Un aviso no bloquea el informe ni impide una acción autorizada; un resultado limpio tampoco ofrece garantías. ### Consulta el historial detrás del informe. Historial del investigador Revisa los envíos, recompensas y eventos de karma visibles del investigador antes de decidir qué necesita el hallazgo actual. - Busca identidades de investigadores y filtra su historial de informes. - Examina la severidad, las recompensas y el karma junto a los enlaces a informes. - Consulta un indicador de bajo valor informativo del programa y sus recuentos a partir de cinco informes. - Registra con el asistente los ajustes de karma reservados a administradores, con un motivo predefinido, quién los realiza y pruebas opcionales. El indicador usa una regla de recuento de reputación que incluye informes pendientes. No desestima, bloquea ni reduce la severidad. El karma global no demuestra confianza en un programa concreto. ### Dirige el hallazgo al área de producto. Asignación por componente Guarda patrones de componentes, responsables y destinos de Slack en un catálogo y confirma el área sugerida en el informe. - Compara patrones de endpoint y muestra por qué se ha sugerido un área. - Usa al responsable del componente cuando el informe no tenga uno. - Archiva componentes sin perder el historial de los informes. Las sugerencias requieren confirmación humana. El catálogo dirige informes a áreas conocidas; no descubre activos ni sustituye a un responsable existente. ### Retoma el informe que lleva tiempo sin actividad. Recordatorios al responsable Usa plazos de inactividad por severidad para avisar al responsable y escalar el trabajo estancado a un administrador. - Sigue la actividad del equipo con una secuencia de recordatorios configurable. - Pospón tres o siete días dentro del límite del ciclo. - Indica cuándo se espera una aclaración del investigador. Los recordatorios excluyen las pausas activas, los hallazgos informativos y las esperas del investigador que cumplen los criterios. Posponer aplaza el ciclo sin reiniciar el reloj del informe. ### Fija cuándo volver al informe. Recordatorios de seguimiento Añade un recordatorio con fecha para ti y para miembros del equipo que puedan abrir el informe. - Elige una hora local y miembros concretos del equipo. - Recibe un aviso dentro de Kit, con correo expresamente opcional. - Completa, reabre o descarga un recordatorio de calendario ICS. Los investigadores nunca son destinatarios. El acceso al informe se comprueba de nuevo al entregar el aviso. Quien lo crea puede editarlo; los participantes pueden completarlo o reabrirlo. La exportación al calendario es una copia puntual, sin sincronización en directo. ### Prepara el relevo del siguiente responsable. Rotación de guardia Define el responsable actual y la rotación y envía el resumen de la cola entrante y del turno que termina. - Usa turnos manuales o rotaciones diarias y semanales. - Ten en cuenta los días festivos y avisa a los administradores de huecos de cobertura. - Incluye trabajo abierto, plazos próximos y actividad del turno en resúmenes de Slack o correo. La rotación propia requiere al menos dos miembros. La sincronización de horarios de PagerDuty requiere su conexión configurada. ### Envía la alerta a quien debe responder. Alertas de respuesta y PagerDuty Avisa al personal de guardia de informes urgentes e incumplimientos de respuesta, con escalado opcional a PagerDuty. - Elige eventos de nuevo informe, SLA, evaluación crítica y escalado. - Asocia la severidad del incidente, configura repeticiones de incumplimiento y sincroniza al miembro de guardia. - Muestra las confirmaciones y resoluciones de PagerDuty recibidas mediante webhooks firmados. PagerDuty requiere la conexión de tu servicio y un miembro correspondiente en Kit. Las alertas con contenido reducido protegen los informes restringidos; resolver un incidente no verifica una corrección. ## Sigue la corrección Pasa el trabajo a ingeniería y registra las pruebas y decisiones que devuelve tu equipo. ### Mantén la incidencia de ingeniería junto al hallazgo. Traspaso a Jira y Linear Revisa qué se divulgará del informe antes de crear su incidencia en Jira o Linear y consulta su estado almacenado en Kit. - Elige un proyecto o equipo y asocia la severidad con la prioridad. - Envía comentarios de hitos seleccionados y detalles de vulnerabilidad aprobados. - Consulta el estado almacenado, la última sincronización, los fallos y los enlaces rotos. Las conexiones requieren configurar el proveedor. Los detalles de vulnerabilidad necesitan permiso del programa y consentimiento en cada envío. Marcar la incidencia como hecha no resuelve el informe ni demuestra un despliegue; desvincularla conserva la incidencia externa. ### Ten la pull request a mano. Enlaces de corrección Adjunta la incidencia, pull request o documento que usa tu equipo para seguir la corrección. - Enlaza trabajo de GitHub, GitLab, Jira o Linear. - Añade etiquetas propias y URL internas. - Abre las referencias enlazadas desde la cronología del informe. Son referencias exclusivas del personal. Kit no obtiene su contenido, sincroniza su estado ni deduce que haya un despliegue. ### Registra quién dio la corrección por verificada. Decisión de verificación de la corrección Un miembro autorizado puede pasar un informe resuelto a Corrección verificada y conservar la decisión en su historial. - Mantén Resuelto y Corrección verificada como estados distintos. - Registra quién toma la decisión y cuándo. - Añade una nota de verificación opcional. Kit no exige ni verifica por su cuenta pruebas de despliegue o una nueva prueba del investigador para esta transición. ### Escribe el análisis junto al hallazgo. Análisis posteriores Documenta las acciones correctivas y las lecciones aprendidas junto al informe, con fechas, adjuntos y revisiones conservadas. - Registra la causa raíz y las acciones correctivas. - Escribe las fechas de detección y resolución. - Conserva un historial de revisiones al que solo se añaden entradas. El tiempo de corrección usa las fechas que escribe tu equipo, no una duración de despliegue observada. ### Recoge pruebas de tu pipeline de GitLab. Triaje de código ejecutado por el cliente Envía un informe a tu propio pipeline y recibe ubicaciones de código, afirmaciones de reproducción y sugerencias de corrección para revisarlas. - Usa tu repositorio, modelo y prompts con un token de ejecución de alcance limitado. - Sigue el repositorio, commit, progreso del pipeline, fallos y tiempos de espera agotados. - Revisa el texto de prueba de concepto, intercambios HTTP, salida de herramientas y cobertura por separado del veredicto. Solo GitLab; requiere configuración y acceso a Seguridad. Las ejecuciones caducan tras un plazo configurado de 1 a 45 minutos. Hasta ocho elementos de prueba, de 64 KiB cada uno y 256 KiB en total. Las afirmaciones devueltas nunca cambian la evaluación automáticamente. ## Gestiona tu programa de divulgación Define el acceso, el reconocimiento y las opciones de envío de tu programa de divulgación de vulnerabilidades (VDP) pensando en el investigador. ### Informa al investigador de los retrasos. Avisos de cola y solicitudes de novedades Publica un aviso sobre la cola y permite que los investigadores que cumplan los requisitos pidan novedades sobre un informe sin actividad. - Muestra un aviso propio y plazos revisados en el formulario, los justificantes y las páginas del informe. - Envía opcionalmente un aviso para informes sin atender que cumplan los criterios tras la activación. - Permite añadir una breve solicitud de novedades y consultar cuándo se podrá volver a pedirlas. Los avisos de cola están desactivados por defecto. Las solicitudes se aplican a informes abiertos cuando vence el objetivo inicial o tras 14 días sin actividad, con siete días entre solicitudes; no cambian la severidad. ### Ofrece una vía para revisar la decisión. Recursos del investigador El investigador puede presentar un recurso escrito y seguir la respuesta del equipo desde la página de su informe. - Conserva la justificación con el informe. - Muestra resultados pendientes, aceptados o rechazados. - Aplica el límite de recursos configurado y permite solo uno pendiente a la vez. Se admiten los estados desestimado, informativo, validado, resuelto y corrección verificada. Los informes pagados quedan excluidos. Aceptar un recurso sobre un informe cerrado puede reabrirlo; Kit no ofrece arbitraje independiente. ### Pregunta antes de publicar el nombre. Preferencias de reconocimiento Permite al investigador gestionar su nombre de usuario, idioma y reconocimiento, o responder por correo a una solicitud de reconocimiento. - Ofrece por igual reconocimiento con nombre, anónimo o sin aparición en la lista. - Permite editar el nombre público y conserva la respuesta de consentimiento. - Muestra qué programas lo incluyen y respeta la exclusión global en las entradas vinculadas. Los enlaces caducan a los 30 días y los reenvíos sin respuesta requieren siete días de espera. Una respuesta con nombre cambia el nombre de usuario global. El consentimiento por sí solo no publica un reconocimiento; el correo del perfil es de solo lectura. ### Da al aporte un reconocimiento duradero. Salón de la fama Selecciona reconocimientos de investigadores por año, con una página estable para cada entrada. - Destaca entradas seleccionadas con recuentos de informes y notas de reconocimiento. - Añade un enlace externo opcional a una página de reconocimiento. - Registra reconocimientos manuales por trabajo anterior a Kit. - Revisa los reconocimientos sugeridos y las solicitudes pendientes de consentimiento. Los investigadores vinculados deben elegir expresamente reconocimiento con nombre o anónimo. La exclusión oculta las entradas vinculadas y sus enlaces permanentes. Las entradas manuales son texto del personal; el salón de la fama se puede desactivar. ### Abre el formulario con un enlace de invitación. Recepción solo por invitación Elige recepción pública o invitación obligatoria al programa, con un formulario para investigadores que quieran solicitar acceso. - Restringe los formularios de informes y retirada mediante una invitación compartida. - Revisa la breve solicitud de acceso del investigador. - Envía las invitaciones aprobadas por correo y renueva el token del programa. El enlace restringe la recepción, no la política pública ni todos los endpoints de descubrimiento. No equivale a pertenencia individual. Renovar el token no revoca sesiones ya autorizadas en el navegador. ### Haz que se encuentre dónde enviar informes. security.txt y política legible por máquinas Publica el contacto de seguridad y una versión Markdown de tu política, alcance, recompensas y pautas de envío. - Previsualiza security.txt y envía avisos de caducidad por Slack. - Enlaza llms.txt con campos obligatorios, límites de adjuntos y pautas para informes. - Publica un sitemap del portal y robots.txt para programas públicos activos. Los cambios del archivo de contacto requieren guardado manual. Los avisos de caducidad usan la fecha guardada. llms.txt describe el envío personal mediante el formulario web; sitemap y robots.txt requieren un programa público activo. ### Pon el formulario en tu propia web. Formulario de informes integrado Integra el formulario de informes y conserva su justificante de envío en el mismo contexto. - Copia el fragmento del SDK o la URL directa del iframe. - Usa el ajuste automático de altura del iframe. - Elige tema claro u oscuro y configura los orígenes autorizados para integrar el formulario. Es un formulario web integrado. Dejar vacíos los orígenes permitidos no impone restricciones; la integración no ofrece una API pública de envío de informes. ### Revisa el bloqueo junto al informe. Controles de abuso en la recepción Combina comprobaciones de bots y límites de frecuencia con registros de bloqueo del programa que el personal autorizado puede revisar y levantar. - Usa un campo trampa, Turnstile configurado y umbrales de ráfaga. - Examina correos o IP bloqueados, fechas e intentos rechazados. - Señala posibles falsos positivos de investigadores con buenos resultados y registra bloqueos o desbloqueos manuales. Los controles reducen el abuso sin garantizar envíos limpios. Se aplican tanto los límites web fijos como los del programa. Los fallos que permiten reintentar conservan el texto, pero requieren volver a adjuntar los archivos; la atribución con IP compartida es aproximada. ## Recompensas y pagos Fija una recompensa, reúne los datos necesarios y conserva el encargo a finanzas. ### Publica las condiciones de la recompensa. Política e intervalos de recompensas Describe recompensas solo de reconocimiento, discrecionales o por niveles, con intervalos por severidad en la moneda del programa. - Define importes mínimos y máximos en seis niveles de severidad. - Publica opcionalmente la matriz y explica la evaluación. - Activa bonificaciones discrecionales con un límite independiente. - Aprueba directamente una recompensa o una bonificación permitida, sin propuesta del equipo. Los límites de recompensa fijados por la matriz dependen de la evaluación. Los niveles a cero y sin bonificaciones permiten programas solo de reconocimiento; los niveles vacíos permiten recompensas discrecionales. Estos límites no crean un presupuesto ni una cuenta de depósito. ### Reúne el importe y los votos del equipo. Propuestas de recompensa Propón una recompensa en privado, recoge acuerdos o importes alternativos y deja la aprobación a un administrador autorizado. - Usa votación a ciegas o recuentos opcionales en directo, con comentarios e importes alternativos. - Marca los votos anteriores como caducados cuando cambie el importe. - Pide al asistente recompensas anteriores accesibles, cifras resumidas y ejemplos recientes. Las propuestas son privadas hasta que se aprueba una recompensa. Aprobar no transfiere dinero. Las consultas de recompensas anteriores incluyen todos los tipos y no filtran por moneda; son historial interno, no referencias de mercado. ### Deja constancia cuando cambie el importe. Correcciones de recompensas Ajusta una recompensa aprobada o retira una sin pagar con un motivo y la entrada correspondiente en el libro mayor. - Registra la diferencia con signo respecto al importe anterior. - Explica opcionalmente el cambio al investigador. - Sustituye una recompensa retirada sin cambiar el veredicto del informe. Los desembolsos completados o en curso bloquean las correcciones y retiradas. Una reducción notificada requiere una nota. ### Invita a volver con una recompensa mayor. Multiplicadores privados de recompensa Ofrece a un investigador un multiplicador privado y temporal para futuros informes de tu programa que cumplan los requisitos. - Avanza por los niveles de 1,1×, 1,25× y 1,5×. - Limita el importe adicional por informe. - Añade un aviso personal o activa el multiplicador sin notificarlo. Los multiplicadores duran de 7 a 90 días. La progresión depende de hallazgos válidos de severidad media o superior que cumplan los criterios. Las condiciones se fijan al enviar, pero la elegibilidad depende de la severidad evaluada; las bonificaciones no hacen avanzar de nivel. ### Muestra qué falta para el pago. Requisitos de pago Configura los documentos, datos de pago y verificaciones necesarios para que una recompensa esté lista para el desembolso. - Elige requisitos de acuerdo, documento fiscal verificado y verificación de la corrección. - Elige los métodos permitidos y, si quieres, recomienda uno; los investigadores añaden o actualizan sus datos de PayPal o bancarios. - Define la moneda del programa y el pago mínimo. Por defecto se exige un acuerdo aceptado, un documento fiscal verificado y una corrección verificada. Tu equipo envía el dinero mediante su proveedor de pagos; Kit registra el proceso. ### Conserva las condiciones aceptadas. Registro de acuerdos aceptados Usa un acuerdo de recompensa predeterminado o propio y conserva el texto exacto que acepta el investigador. - Usa el acuerdo de confidencialidad incluido o el texto de tu programa. - Recoge la aceptación expresa desde el informe del investigador. - Conserva el texto aceptado, la fecha y la IP aunque se edite después. Solo está implementado el acuerdo de confidencialidad. Es un requisito opcional para una recompensa aprobada y pagadera; no exige confidencialidad antes de entrar, ni comprueba identidades, ni ofrece firma digital. ### Separa las recompensas listas de las bloqueadas. Cola de pagos Consulta qué pagos necesitan datos del investigador, una acción del equipo o finanzas, y detecta recompensas listas que siguen esperando. - Filtra los registros listos, bloqueados, en finanzas, pagados y fallidos. - Agrupa los bloqueos compartidos por investigador y consulta los importes pendientes y la recompensa más antigua. - Recuerda al equipo las recompensas listas; reinicia el ciclo cuando cambien los bloqueos. Los totales son importes registrados, no fondos retenidos. Los recordatorios no transfieren dinero y terminan cuando ya no se puede actuar sobre la recompensa. ### Pide los datos que aún faltan. Datos de pago pendientes Envía al investigador un correo centrado en los datos de pago, documentos fiscales y acuerdos de informes pendientes. - Agrupa los bloqueos actuales que dependen del investigador en sus recompensas. - Enlaza directamente con las acciones necesarias del portal. - Consulta el último aviso y respeta el intervalo entre reenvíos. El personal envía el aviso. Excluye aprobaciones o verificaciones del personal, recompensas inferiores al mínimo y techos de recompensa sin resolver. Es independiente de los recordatorios automáticos al equipo sobre pagos listos. ### Entrega a finanzas el registro del pago. Encargo a finanzas Envía el encargo de pago y conserva la confirmación de finanzas sobre su ejecución o fallo. - Configura una dirección de correo de finanzas. - Comparte los datos de pago mediante una página firmada; finanzas no necesita una cuenta de Kit. - Registra la referencia de la transacción y los datos de quien confirma. Finanzas programa la transferencia fuera de Kit. La confirmación es un registro humano, no una conciliación bancaria. Sin dirección de finanzas, el personal registra el resultado manualmente. ### Reintenta sin borrar el intento fallido. Recuperación de pagos fallidos Registra el fallo, pide datos corregidos cuando haga falta y conserva los intentos anteriores del pago. - Distingue datos no válidos, pagos devueltos y métodos no admitidos. - Pide al investigador datos de sustitución. - Sustituye un intento anterior conservando su historial. Un fallo de tipo Otro solo es visible para el personal hasta que se pidan datos expresamente. Un método no admitido puede exigir que el programa ofrezca otra vía de pago. ### Detecta qué pago necesita otra revisión. Alertas de revisión de pagos Avisa a quien aprobó la recompensa cuando otra persona registra el pago como completado. Alerta a los demás administradores de Seguridad si el importe o el historial de aprobación requieren revisión. - Consulta en el aviso los datos de aprobación, ajustes y finalización del pago. - Detecta diferencias entre el importe de la recompensa y el total aprobado en el libro mayor. - Pide una revisión independiente de los aumentos importantes o del historial de aprobación ilegible cuando una sola persona ha gestionado todo el proceso. Si quien aprobó también registra un pago ordinario como completado, no se envía ningún aviso. Las alertas de revisión excluyen a quien registró el pago. Estos avisos se emiten después de registrar la finalización; no bloquean ni transfieren dinero. El correo respeta las preferencias de notificaciones y vacaciones que correspondan. ### Conserva el formulario junto a quien lo revisa. Revisión de documentos fiscales Los investigadores suben un W-9 o W-8BEN para su revisión por personal autorizado o finanzas. - Usa una vista previa rasterizada para revisar el PDF. - Registra los motivos de rechazo y quién revisa. - Consulta las aperturas, descarga originales y envía avisos de renovación programados. El acceso requiere una relación por recompensa concedida y autorización de personal o finanzas. Los avisos de renovación usan un umbral de tres años de Kit, no una determinación de caducidad legal. La revisión no presenta impuestos ni ofrece asesoramiento fiscal. ### Sigue la recompensa en cada corrección. Libro mayor de recompensas y pagos Conserva aprobaciones, ajustes, revocaciones, intentos de pago y decisiones fiscales en el historial financiero. - Registra quién actúa y cuándo en cada evento. - Distingue la diferencia de un ajuste de la recompensa resultante. - Mantén los pagos completados separados de las aprobaciones. Las entradas del libro mayor registran confirmaciones de pago. Kit no transfiere fondos ni concilia cuentas bancarias. ## Acceso y pruebas Restringe los registros sensibles, consulta las métricas de respuesta y exporta las pruebas. ### Elige quién puede abrir un informe sensible. Informes restringidos Limita el informe a personas autorizadas y administradores de Seguridad, con acceso de responsable para gestionar permisos y asignación. - Concede acceso a un informe concreto. - Permite a los responsables autorizados gestionar el acceso y la asignación. - Aplica la restricción del informe a listas, métricas y lecturas de MCP. Los administradores de Seguridad conservan el acceso; la asignación por sí sola no lo concede. El acceso externo compartido y la divulgación a integraciones tienen límites independientes. ### Da acceso temporal al informe a un colaborador. Acceso para colaboradores externos Comparte el hallazgo técnico con un ingeniero externo mediante una invitación por correo o un enlace de solo lectura. - Verifica el buzón invitado y recoge opcionalmente comentarios visibles solo para el personal. - Comparte contenido técnico y adjuntos del investigador mediante descargas autorizadas. - Revoca el acceso y conserva el historial de visitas, caducidad y custodia. El acceso caduca a los siete días. Los enlaces para cualquiera dan acceso de solo lectura a quien los tenga. La identidad del investigador, las recompensas y las notas internas quedan ocultas, pero se comparten el texto técnico y los nombres de archivos. Cerrar revoca los accesos compartidos existentes. ### Da a cada miembro el rol de seguridad adecuado. Roles del equipo de seguridad Configura el acceso a Seguridad por separado de otras tareas de Kit y asigna la capacidad de finanzas de forma independiente. - Usa los perfiles de responsable e ingeniero de seguridad. - Elige miembro del módulo, administrador o sin acceso. - Separa pagos y trabajo fiscal mediante la capacidad de finanzas. Los administradores de la cuenta conservan el acceso general. El acceso de invitado a Contratación no es un rol de Seguridad. ### Cifra los campos dentro del registro. Cifrado de datos sensibles Guarda el texto sensible del informe, la identidad del investigador y los datos de pago con cifrado a nivel de aplicación. - Cifra título, endpoint, descripción y pasos de reproducción. - Cifra correo, nombre y datos de pago del investigador. - Autoriza documentos fiscales y adjuntos con sus propias comprobaciones de acceso. Es cifrado en reposo de Rails, no cifrado de extremo a extremo. No hay un calendario de eliminación configurable por informe. ### Consulta la evolución de las respuestas. Métricas de seguridad Compara tiempos de respuesta y resolución, cumplimiento de SLA, volúmenes de informes y pagos de recompensas registrados. - Elige vistas de siete, 30 o 90 días. - Desglosa informes por severidad, estado y tipo de vulnerabilidad. - Excluye de los agregados los informes restringidos sin autorización. Los totales pagados usan registros de desembolsos completados y separan las monedas. Las métricas no demuestran que las correcciones se hayan desplegado. ### Obtén un conjunto de pruebas revisable. Exportación de pruebas Genera pruebas en CSV o PDF para un periodo, con resúmenes de informes, correspondencia y registros del libro mayor. - Exporta resúmenes de informes y SLA. - Incluye extractos de comunicación visibles para el investigador. - Conserva actores, eventos e importes financieros en la exportación. Exportar todo el programa requiere autorización de administrador. Los registros de comunicación excluyen notas internas y borradores sin enviar. Las exportaciones ayudan a revisar sin certificar el cumplimiento normativo. ### Descarga el registro de un hallazgo. Expediente del incidente en PDF Genera un PDF del informe con el hallazgo, las decisiones, la cronología y el análisis posterior privado. - Incluye el resumen ejecutivo, la severidad y el historial de eventos. - Reúne el análisis posterior, las referencias de corrección y la aprobación del personal. - Enumera nombres, tamaños y sumas de comprobación de los adjuntos en un manifiesto. Solo en inglés y para personal autorizado. Los adjuntos se enumeran, no se incluyen. Contiene información privada y es distinto de la página compartida con colaboradores; el hash de coherencia no certifica la inmutabilidad. ## Conexiones y herramientas de análisis Conecta tus sistemas y usa herramientas específicas de investigación y documentos. ### Envía los hallazgos evaluados a Vanta. Sincronización de pruebas con Vanta Sincroniza informes evaluados sin corregir con los recursos configurados del conector de Vanta y comprueba cuándo se actualizó la conexión. - Verifica credenciales y recursos durante la configuración. - Ejecuta una sincronización manual o una actualización en segundo plano. - Consulta las horas de sincronización y los fallos de conexión. Requiere tus credenciales y recursos de Vanta y acceso a Seguridad. Los informes informativos evaluados conservan el contexto de aceptación sin corrección; los no evaluados se omiten. Sincroniza pruebas, no realiza un análisis de vulnerabilidades. ### Reúne las novedades del informe en un hilo. Hilos de informes en Slack Envía un resumen actual del informe y respuestas a eventos al canal de Slack configurado para Seguridad. - Dirige las notificaciones del informe a su hilo. - Usa acciones autenticadas de triaje, recursos y trabajo estancado. - Pregunta al bot por un informe y guarda una nota interna. Requiere configurar Slack; la ayuda del bot consume créditos. Los informes restringidos no generan tarjetas en el canal. Restringir un informe existente elimina el contenido del bot, pero no puede retirar respuestas humanas ni copias anteriores. ### Deja que el asistente lea las pruebas permitidas. Agente de seguridad y MCP Usa el agente de seguridad o un cliente MCP conectado por OAuth para consultar informes, redactar respuestas y realizar acciones autorizadas. - Examina el alcance configurado, el contexto CVSS y los informes anteriores visibles. - Obtén los archivos de prueba permitidos; usa manuales de triaje, recompensas y análisis posterior. - Vuelve a comprobar el miembro que actúa, su rol y las restricciones del informe en cada llamada. Por defecto, las respuestas del agente en la conversación quedan como borradores sin enviar. Un administrador del programa puede activar el envío directo. Los cambios autorizados de estado o recompensa pueden seguir generando las notificaciones habituales. Las escrituras requieren que el miembro que las realiza tenga el rol, el acceso al informe y la suscripción necesarios. MCP externo usa permisos OAuth de lectura y escritura. La ayuda dentro de Kit consume los créditos configurados. ### Envía el evento a tu propio sistema. Webhooks de seguridad Suscríbete a eventos del ciclo de seguridad mediante los webhooks de la cuenta. - Recibe eventos de envío, triaje, evaluación, asignación y SLA. - Sigue la aprobación de recompensas y los pagos registrados. - Usa una carga estructurada y limitada del informe. Las cargas excluyen títulos cifrados, cuerpos de informes y campos de contacto. Los webhooks entregan metadatos de eventos, no una exportación completa del informe. ### Consulta las fuentes detrás de la IP. Investigación de IP Busca datos de titularidad, enrutamiento, exposición y reputación en fuentes públicas de inteligencia. - Investiga hasta diez direcciones a la vez. - Consulta la fuente, la fecha de actualización y el estado de cada sección. - Abre una IP del informe o pega una dirección en Omnisearch. La inteligencia pública se guarda en una caché global; es una consulta, no un análisis activo. Los proveedores que requieren clave pueden no estar disponibles sin configuración. La ubicación aproximada no demuestra dónde reside una persona. ### Lee por qué se ha marcado una dirección. Comprobación de correos desechables Comprueba la sintaxis del correo, dominios desechables conocidos y, opcionalmente, huellas de servidores de correo. - Pega hasta 25 direcciones. - Examina el motivo de cada veredicto. - Omite DNS para consultar solo la lista de bloqueo. Un resultado limpio no demuestra que el buzón exista ni que reciba correo. Los resultados se calculan bajo demanda y no se guardan; se aplican límites de solicitudes por cuenta. ### Consulta las filtraciones asociadas a una dirección. Consultas puntuales de filtraciones Pide al asistente que compruebe direcciones de correo en HaveIBeenPwned e indique si las filtraciones incluían contraseñas. - Comprueba hasta diez direcciones en una solicitud. - Consulta las fuentes, las fechas de las filtraciones y los tipos de datos expuestos. - Distingue un resultado desconocido o una consulta fallida de la ausencia de filtraciones conocidas. Las cuentas de pago incluyen 25 consultas nuevas por usuario de pago al mes. Los resultados se guardan en caché durante 12 horas; los resultados en caché y las consultas fallidas no consumen el cupo. Estas consultas no requieren verificar el buzón ni activan la monitorización diaria. ### Recibe un aviso si una dirección del equipo aparece en una filtración. Monitorización de filtraciones Comprueba si las direcciones de tu equipo aparecen en filtraciones de datos conocidas. - Las direcciones de acceso del equipo se comprueban a diario en las cuentas de pago. - Añade hasta tres direcciones compartidas o funcionales verificadas por usuario de pago. - Se avisa a los miembros afectados y a los administradores; para las direcciones adicionales, solo a los administradores. Las comprobaciones diarias utilizan HaveIBeenPwned. Los administradores añaden las direcciones adicionales y sus titulares las confirman por correo. Los avisos cubren filtraciones recién detectadas que se añadieron a la fuente en los últimos 30 días. Los avisos por correo respetan las preferencias de notificación. ### Abre una copia del PDF convertida en imágenes. Saneamiento de PDF Reconstruye un PDF compatible a partir de imágenes de sus páginas antes de abrir la copia generada. - Usa una carga independiente o un adjunto del informe. - Excluye scripts, archivos incrustados, acciones y capas de texto de la copia reconstruida. - Sigue el procesamiento y la conservación; elimina las copias de la utilidad independiente al terminar. Los PDF de hasta 25 MB se convierten en copias de solo imágenes conservadas durante siete días. Las cargas originales independientes se eliminan tras procesarse; las pruebas de informes, retiradas y documentos fiscales usadas como origen no cambian. ### Reúne el aviso y el historial de acciones. Avisos de retirada Recibe avisos de phishing, malware o abuso mediante un formulario separado y envíalos a los destinatarios configurados. - Recoge URL, dominio, IP, marca, clasificación, fecha de detección y pruebas. - Entrega un justificante al remitente y avisa por correo a los destinatarios configurados. - Permite confirmar la recepción o registrar una acción con un enlace firmado, notas de resultado e historial de estados. Es opcional y está desactivado por defecto; se aplica la restricción por invitación. La organización y el correo del remitente son obligatorios. Los destinatarios del enlace firmado no necesitan cuenta de Kit. Registrar una acción no demuestra la retirada y Kit no ofrece un servicio gestionado de retirada. ## Da a los investigadores un lugar para sus hallazgos. Seguridad está incluida en Kit. Tu equipo evalúa los hallazgos y verifica las correcciones. Los pagos se realizan fuera de Kit. Los servicios conectados requieren su propia configuración y pueden cobrar por separado. [Ver precios](https://startupkit.app/es/pricing)