Divulgación responsable de vulnerabilidades

Esta política se actualizó por última vez el 03/01/2014.

Política de divulgación responsable

La información recogida en esta página va dirigida a investigadores de seguridad que estén interesados en comunicar vulnerabilidades al equipo de seguridad de Netflix. Si eres suscriptor de Netflix y tienes preguntas relacionadas con el fraude o con el malware, consulta las siguientes páginas de soporte:

Si eres un cliente y buscas información sobre tu cuenta, tu facturación o el contenido del sitio, ponte en contacto con el Servicio al cliente por chat o por teléfono.

Si crees haber encontrado una vulnerabilidad de seguridad en una aplicación o propiedad de Netflix, te animamos a que nos informes tan rápido como puedas y no la divulgues públicamente hasta que esté arreglada. Apreciamos tu ayuda, revisamos todos los informes y hacemos lo que podemos para arreglar el problema a su debido tiempo. Para fomentar la divulgación responsable, Netflix no te demandará ni pedirá a las autoridades competentes que te investigue si determinamos que la divulgación cumple las siguientes directrices:

Directrices para una divulgación responsable

  • Informa a Netflix e indícanos los detalles de la vulnerabilidad. Antes de divulgarla públicamente, concédenos un periodo de tiempo razonable para solucionar el problema.
  • Ofrece un nivel adecuado de detalle sobre la vulnerabilidad para que podamos identificar y reproducir el problema. Entre los detalles deberían incluirse URL de destino, pares petición/respuesta, capturas de pantalla y cualquier otra información.
  • Confirmaremos tu correo y evaluaremos la validez y reproducibilidad del problema. Si los problemas son válidos, trabajaremos para corregirlos y te mantendremos informado de su evolución.
  • Haz lo que razonablemente puedas para evitar la interrupción del servicio (por ejemplo DoS), problemas de privacidad (por ejemplo, acceder a los datos de un cliente de Netflix) y destrucción de datos al investigar la vulnerabilidad.
  • No pidas una compensación por informar de vulnerabilidades de seguridad a Netflix ni a mercados de vulnerabilidades externos.
  • No hagas phishing ni contactes por medios sociales a los ingenieros o clientes de Netflix.
  • No ejecutes herramientas de escaneo automáticas y nos envíes los resultados sin haber confirmado que el problema está presente. A menudo, las herramientas de seguridad dan falsos positivos que deben confirmarse.

Categorías de vulnerabilidades cuya comunicación fomentamos

Principalmente, nos interesa que nos informen de las siguientes categorías de vulnerabilidades:

  • Secuencias de comandos en sitios cruzados (XSS)
  • Falsificación de petición en sitios cruzados (CSRF)
  • Inyección SQL (SQLi)
  • Problemas relacionados con la autenticación
  • Problemas relacionados con la autorización
  • Exposición de los datos
  • Ataques de redireccionamiento
  • Ejecución de código remoto
  • Vulnerabilidades particularmente inteligentes o problemas únicos que no pertenecen a categorías explícitas

Categorías de vulnerabilidades fuera del ámbito

Las siguientes categorías de vulnerabilidades se consideran fuera del ámbito de nuestro programa de divulgación responsable y no darán lugar a que mencionemos al investigador en nuestra lista de investigadores.

  • Vulnerabilidades de SSL relacionadas con la configuración o la versión
  • Denegación de servicio (DoS)
  • Enumeración de usuarios
  • Ataques de fuerza bruta
  • Etiqueta segura no definida en cookies no sensibles
  • Etiqueta HTTPOnly no definida
  • Falsificación de petición en sitios cruzados (CSRF) de cierre de sesión
  • Problemas presentes solo en navegadores antiguos/complementos antiguos/navegadores de software al final de su vida útil
  • Método HTTP TRACE habilitado
  • Informes de vulnerabilidades relacionados con los números de versión comunicados de servidores web, servicios o marcos de trabajo
  • Clickjacking o secuestro de clic en páginas sin autenticación y/o cambios de estado sensibles
  • Informes de vulnerabilidades que requieren mucha colaboración por parte del usuario para realizar acciones inesperadas o poco razonables que serían más sintomáticas de un ataque de ingeniería social o phishing y no de una vulnerabilidad de la aplicación (por ejemplo, inhabilitar las funciones de seguridad de los navegadores, enviar información crítica a los atacantes para que puedan completar el ataque, guiar al usuario a través de un proceso concreto y pedirle que introduzca código malintencionado por sí mismo, etc.)

Cómo informar de una vulnerabilidad de seguridad

Envíe un correo a security-report@netflix.com para comunicar vulnerabilidades de seguridad a Netflix. Si consideras que el correo debería cifrarse, nuestra clave PGP está disponible más abajo.

Clave PGP

-----BEGIN PGP PUBLIC KEY BLOCK-----
Comment: GPGTools - https://gpgtools.org
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=Mwb9
-----END PGP PUBLIC KEY BLOCK-----

Investigadores de seguridad participantes - 2017

Netflix quiere dar las gracias a los siguientes investigadores por participar en nuestro programa de divulgación responsable.

  • Sumit Sahoo (@54H00)
  • Suyog Palav (@SuyogPalav555)
  • Maurice Dibbets
  • Jon Bottarini (@jon_bottarini)
  • Dhaval Chauhan (@17haval)
  • Jean St-Laurent (@JeanDebogue)
  • Eusebiu Blindu (@testalways)
  • Akash Saxena (@AkashSaxena21)
  • Joshua Hnat
  • Jack Whitton (@fin1te)
  • Warren Doyle (@wdoyle2)
  • Ashish Kumar Agarwal (@ashishag29)
  • Marek Szustak (@mszustak)
  • GwanYeong Kim (@sec_karas)
  • Raad Firas Haddad (@raadfhaddad)
  • Rémy Marot (@R_Marot)
  • Vineet Kumar (@the_real_clown)
  • Wen Bin KONG (@kongwenbin)
  • Dor Shahaf

Investigadores de seguridad participantes - 2016

Netflix quiere dar las gracias a los siguientes investigadores por participar en nuestro programa de divulgación responsable.

  • Fredrik Nordberg Almroth (@almroot)
  • Ofer Gayer (@ZigZag_IL)
  • Daniel Bakker (@jackds1986)
  • Ahmed Adel Abdelfattah (@00SystemError00)
  • Mustafa Hasan (@strukt93)
  • Gerardo Venegas (@v0raz)
  • Mikołaj Dądela (@mik01aj)
  • Marwan Medhat (@SpringStatue)
  • Nenad Borovčanin (@nenad_b97)
  • Bernardo Diaz (@bada_77)
  • Caden Sumner (@CadenSumner)
  • David Moore (@grajagandev)
  • Eric Head (@codecancare)
  • Ruslan Bakhvala (@ruslan_bakhvala)
  • Robert Adam (@robertadam0)
  • Brett Buerhaus (@bbuerhaus)
  • Ben Sadeghipour (@NahamSec)
  • Jake Reynolds (@jreynoldsdev)
  • Mohammad Aman Khan (@khn_amn)
  • Keith Gardner (@kreios4004)
  • Anas Falhi (@M0ti0nl3ss_)
  • Jon Bottarini (@jon_bottarini)
  • Teemu Kääriäinen (@NixuTigerTeam)
  • Tommy DeVoss (@thedawgyg)
  • David Mann (@stembrain)
  • Anand Bhat (@_anandbhat)
  • Shay Shavit (@Chapakpuk)
  • Djaballah Mohamed Taher (@Djaballah_Med_T)
  • Rakesh Chinna (@rakesh_3895)
  • Naftali Rosenbaum (sin cuenta de Twitter)
  • Arne Swinnen (@arneswinnen)
  • David Wind (@slashcrypto)
  • Michael Carlson (@blainecarlson)
  • Yasin Soliman (@SecurityYasin)
  • Abner Mendoza
  • Phakpoom Chinprutthiwong
  • Suleman Malik (@sulemanmalik_3)
  • Ali Hassan Ghori (@alihasanghauri)

Investigadores de seguridad participantes - 2015

Netflix quiere dar las gracias a los siguientes investigadores por participar en nuestro programa de divulgación responsable.

  • Fredrik Nordberg Almroth (@almroot)
  • Jonathan Conerly
  • Ali Hassan Ghori (@alihasanghauri)
  • Behrouz Sadeghipour y Patrik Fehrenbach (@NahamSec)
  • Stephen Tomkinson (@neonbunny9)
  • David Dworken (@ddworken)
  • White Rabbitz (GER)
  • Christopher Presley (@The_Beard_Lives)
  • @insaneasusual
  • Mo'men Basel (@MomenBassel)
  • jamm0 (@jamm0us)
  • MentaL (@ragezone)
  • Frank B. Vickers (@SarccastikDude)
  • Ashar Javed (@soaj1664ashar)
  • Abdel Hafid Ait Chikh (@HafidAitChikh)
  • Guillaume Prieur (@gplaurin)
  • Jesse Clark (@Hogarth45_ND)
  • Ryan Preston (@ripr4p)
  • Mikael Byström (@gsocgsoc)
  • Tod Beardsley (@todb)

Investigadores de seguridad participantes - 2014

Netflix quiere dar las gracias a los siguientes investigadores por participar en nuestro programa de divulgación responsable.

  • Ali Hassan Ghori (@alihasanghauri)
  • Cameron Crowley (@crowley_cam)
  • S.Venkatesh (@PranavVenkatS)
  • Rodolfo Godalle, Jr. (@rodgodalle)
  • Garrett Calpouzos (@GCalps)
  • Guillermo Gabarrín (@ggabarrin9)
  • Kamil Sevi (@kamilsevi)
  • Waqeeh Ul Hasan (@dowaqeeh)
  • Jared Perry (@jared_perry)
  • Robert Williamson (@bobbyman3)
  • Burak Bakir (@pr3d1c7)
  • Andrew Neculaesei (@neculaesei)
  • Ketan Sirigiri (@Cigniti)
  • Gineesh George (@g1n1_influenza)
  • Dan Singerman (@dansingerman)
  • Kenneth F. Belva (@infosecmaverick)
  • Akbar Qureshi (@_AkbarQ)
  • Web Plus
  • Ch. Muhammad Osama (@ChMuhammadOsama)
  • Nitin Goplani (@nitingoplani88)
  • Marcin Piosek (@piochu)
  • Abderrazak YS. (@Y33OULS)
  • Han Lee (@_hanlee)
  • Caleb Watt (@calebwatt15)
  • Krishna Chaitanya Kadaba (@cigniti)
  • Gustavo de Oliveira (@highustavo)
  • Sergio Galán (@NaxoneZ)
  • Rafael Pablos
  • kminthant (@psxchotic)
  • Louis Nadeau (@cybpoulet)
  • Kyle Davidson (@X942_Dev)
  • Robert Verderame (@robertverderame)
  • Olivier Beg (@smiegles)
  • Tim Jenson (@timFGO)
  • Robert Daniel (@_drxp)
  • Danish Tariq
  • Justin Kennedy (@jstnkndy)
  • Christopher Presley (@The_Beard_Lives)
  • Malte Batram (@_batram)
  • David Middlehurst (@dtmsecurity)
  • Francisco Correa (@panchocosil)
  • Mohamed Abdelbaset Elnoby (@SymbianSyMoh)
  • Jack (@linkcabin)
  • David Vieira-Kurz (@secalert)

Investigadores de seguridad participantes - 2013

Netflix quiere dar las gracias a los siguientes investigadores por participar en nuestro programa de divulgación responsable.

  • Paul Scott
  • Jack W (@fin1te)
  • Murat Suljovic
  • Rakan Alotaibi (@hxteam)
  • Reginaldo Silva (@reginaldojsf)
  • Rafay Baloch (@rafaybaloch)
  • Kamil Sevi (@kamilsevi)
  • Chiragh Dewan (@ChiraghDewan)
  • Frans Rosén
  • Sabari Selvan (@EHackerNews)
  • Adam Ziaja (@adamziaja)
  • Yuji Kosuga (@yujikosuga)
  • Emanuel Bronshtein (@e3amn2l)
  • Siddhesh Gawde
  • Malte Batram (@_batram)
  • Ahmad Ashraff (@yappare)
  • Camilo Galdos Aka Dedalo (@SeguridadBlanca)
  • Sergiu Dragos Bogdan
  • Aditya K. Sood (@AdityaKSood)
  • Mohankumar Vengatachalam (@vimokumar)
  • Johnathan Kuskos (@johnathankuskos)
  • Evgueni Erchov (@EErchov)
  • Dylan S. Hailey (@TibitXimer)
  • Rajat Bhargava
  • Ehraz Ahmed (@securityexe)
  • Abhinav Karnawat (w4rri0r)
  • Ajay Singh Negi (@AjaySinghNegi)
  • Peter Jaric (@peterjaric)
  • David Hoyt (@cloudscan)
  • Tarek Siddiki
  • Devesh Bhatt (@deveshbhatt11)
  • Defencely @Defencely
  • Matt Ashburn @mattashburn
  • Yaroslav Olejnik - O.J.A. (@oja_c7s)
  • Rupesh Reddy ( _hck3r )
  • Stewart Anderson (@StewieMAnderson)
  • Florindarck (@QuisterTow)
  • Ali Hassan Ghori (@alihasanghauri)
  • Muhammad Shahmeer (@Shahmeer_Amir)