A.1. Admisibilidad y prueba

HO1. (Obligación) Todo reporte demuestra el impacto mediante reproducción. Una afirmación de impacto no demostrada no se considera impacto.

HO2. (Obligación) El reporte incluye los pasos de reproducción, los artefactos observables desde la posición del investigador y la descripción del comportamiento obtenido.

HO3. (Obligación) La severidad propuesta se acompaña del vector completo y de la justificación de cada métrica que se aparte de la guía pública de criticidad.

HD1. (Derecho) El investigador no está obligado a aportar información interna del sistema a la que no tenga acceso razonable desde su posición externa, y su ausencia no motiva el rechazo del reporte. Esta previsión no genera presunción favorable sobre el impacto: lo no demostrado no se puntúa.

HD2. (Derecho) El investigador no está obligado a ejecutar pasos de explotación adicionales cuando hacerlo suponga riesgo real para el sistema o sus usuarios. En tal caso lo hace constar en el reporte.

A.2. Unicidad y concurrencia

HO4. (Obligación) Cada reporte se refiere a un único fallo. Los hallazgos que quien reporta identifique como independientes se remiten por separado.

HD32. (Derecho) Cuando quien reporta observe varias instancias de un mismo tipo de fallo y no pueda determinar si comparten causa raíz, puede remitirlas en un mismo reporte haciéndolo constar expresamente. Triaje determina si constituyen uno o varios fallos.

HO5. (Obligación) Cuando un reporte describa una cadena, se identifica el impacto máximo alcanzable por la cadena en su conjunto y el componente que lo produce.

HD3. (Derecho) Dos hallazgos constituyen fallos distintos cuando su causa raíz es distinta. La coincidencia de causa raíz y de corrección los hace un único fallo, con independencia del número de puntos en que se manifieste.

HD4. (Derecho) Un reporte posterior que demuestre impacto adicional sobre un fallo aceptado y aún no corregido no se trata como duplicado y se adjudica por el impacto diferencial que aporta.

HD34. (Derecho) Quien reporta en equipo recibe crédito como equipo. Un mismo hallazgo remitido por varios miembros de un equipo cuenta como un solo reporte a efectos de HD4 y HD5.

HD5. (Derecho) Ante dos reportes sobre el mismo fallo recibidos antes de que el primero supere la revisión de triaje, la adjudicación corresponde al que demuestre mayor impacto. En igualdad de impacto demostrado, al primero recibido. Superada esa revisión, rige HD4.

HD33. (Derecho) En el supuesto de HD4, ambos reportes reciben crédito en el registro CVE resultante. El registro describe el mayor impacto demostrado.

A.3. Conducta y comunicación

HO6. (Obligación) La comunicación relativa a un reporte se cursa por los cauces habilitados: el chat del propio reporte y los tickets del servidor de Discord de Secur0. Rige además lo dispuesto en 0.9.

HD25. (Derecho) El investigador puede formular consultas por ticket por cualquier motivo, incluido el estado o la evolución de un reporte. Se prefiere el chat del reporte, que dispone de sistema de notificaciones.

HP12. (Prohibición) No se contacta a título personal con miembros del equipo de triaje o de Secur0 fuera de los cauces habilitados, por correo electrónico, mensajería, redes sociales o cualquier otro medio, con el fin de obtener trato preferente, acelerar la tramitación de un reporte o influir en una decisión. Constituye infracción.

HP1. (Prohibición) No se satura ni se acosa a ninguna de las partes, ni se duplican mensajes por canales paralelos. Constituye infracción.

HP2. (Prohibición) No se emplean falacias argumentativas, entre otras el hombre de paja o el desplazamiento de la cuestión, ni se invoca la existencia de un CVE ajeno como criterio vinculante de criticidad.

HO7. (Obligación) Ante el acceso accidental a datos sensibles o fuera de alcance, se detiene la actividad, se comunica el hecho de forma proactiva y no se descarga ni se retiene la información.

HP3. (Prohibición) No se extrae, destruye ni utiliza en beneficio propio la información a la que se acceda durante la investigación. Constituye infracción.

HD6. (Derecho) El acceso o el daño accidental de extensión limitada, conducido de buena fe y comunicado de forma proactiva, no motiva por sí solo el rechazo del reporte ni medida adversa alguna.

A.4. Herramientas automatizadas

HD7. (Derecho) Se permite el uso de herramientas de inteligencia artificial en la elaboración de reportes y de argumentos.

HO8. (Obligación) El investigador responde de la exactitud de lo que remite, con independencia de su origen. El contenido fabricado, incorrecto o no verificado se trata como baja señal.

HP4. (Prohibición) No se remiten reportes generados íntegramente por herramientas automatizadas sin verificación manual ni prueba de concepto. Su remisión reiterada constituye infracción.

HO19. (Obligación) Quien reporta observa las restricciones de método y de herramienta que establezca el programa aplicable. Dichas restricciones prevalecen sobre HD7.

A.5. Disputas

HD8. (Derecho) El investigador puede rebatir en el reporte la validez de una decisión, los hechos reproducidos por el triaje y la aplicación de la guía pública de criticidad al caso concreto, y recibir resolución motivada.

HD9. (Derecho) La discrepancia con una decisión no afecta al standing del investigador ni da lugar a medida alguna.

HO9. (Obligación) La argumentación en disputa se realiza de buena fe y sobre la métrica concreta en discusión.

HO10. (Obligación) La reapertura de una disputa cerrada requiere evidencia empírica nueva y no la reiteración del argumento previo.

HO15. (Obligación) Toda alegación sobre criticidad se formula conforme a la versión vigente de la guía pública de criticidad y se refiere a la interpretación que esta recoge.

HD20. (Derecho) La discrepancia con una puntuación se plantea en el propio reporte mientras su conversación permanezca abierta. Cerrada esta, se plantea mediante ticket privado en el servidor de Discord de Secur0.

HD27. (Derecho) La resolución de un ticket que afecte a la validez o a la criticidad se incorpora por escrito al reporte correspondiente, conforme a TO6.

HP8. (Prohibición) No se tramita en el reporte ni en el ticket la discrepancia con la interpretación recogida en la guía. Ninguno de los dos es cauce para modificar el criterio de puntuación, que se rige por A.6.

HO17. (Obligación) La argumentación en el ticket se mantiene productiva y no adversarial. El triaje puede dejar de responder cuando deje de serlo, mediante decisión final motivada.

HP11. (Prohibición) La criticidad determinada en fase CVE no se rebate por los cauces de esta sección. Prevalece sobre la aceptada en el reporte conforme a TO22.

HD29. (Derecho) El investigador puede solicitar la revisión de un registro publicado por error identificable en los hechos o en la aplicación de la guía, conforme a TF2. La mera discrepancia con la valoración no constituye error a estos efectos.

HD21. (Derecho) Frente a la criticidad determinada en fase CVE, el investigador recibe comunicación motivada y puede proponer la modificación de la guía pública de criticidad conforme a A.6. Su aceptación rige hacia el futuro y no reabre el registro ya publicado, sin perjuicio de la revisión por error identificado prevista en TF2.

A.6. Modificación de la guía pública de criticidad

HD15. (Derecho) Cualquier persona puede proponer la modificación de la guía pública de criticidad mediante issue o pull request en el repositorio público, conforme a la guía de contribución.

HO16. (Obligación) La propuesta identifica el supuesto afectado, la interpretación vigente, la interpretación propuesta y el razonamiento que sostiene el cambio. Una propuesta que no indique con precisión qué cambiar y por qué no da lugar a revisión.

HO18. (Obligación) La propuesta identifica un defecto concreto de la interpretación vigente. No se admite la propuesta que exprese únicamente preferencia o desacuerdo no razonado. El hecho de que la propuesta tenga su origen en un reporte propio no la excluye. La modificación de la guía consume trabajo de ingeniería y se reserva a propuestas que sostengan un cambio de criterio.

HD16. (Derecho) La propuesta se resuelve de forma pública y motivada, y su aceptación modifica el criterio aplicable a las decisiones posteriores. Secur0 considera de buena fe toda propuesta razonada, con independencia de su origen.

HD17. (Derecho) La aceptación de una propuesta no reabre por sí sola los reportes ya adjudicados, sin perjuicio de lo dispuesto en TF2.

A.7. Uso de registros ajenos y anteriores

HP9. (Prohibición) No se invoca como exigencia de repuntuación la criticidad asignada a un registro CVE ajeno, a un registro CVE anterior de Secur0 ni a un reporte anterior de la plataforma. Tales antecedentes no vinculan la adjudicación.

HD18. (Derecho) Dichos antecedentes pueden aportarse como sugerencia de un enfoque distinto de puntuación, en el cauce previsto en A.6 y no en el reporte.

HD19. (Derecho) Un registro anterior acredita la interpretación vigente en la fecha en que se adoptó, y no la interpretación aplicable en el momento presente.

A.8. Divulgación

HO11. (Obligación) La divulgación sigue el orden de reporte, corrección y publicación.

HP5. (Prohibición) No se divulga públicamente un reporte, ni total ni parcialmente, sin autorización de Secur0. Constituye infracción.

HP10. (Prohibición) No se comenta públicamente el contenido técnico ni la tramitación de un reporte fuera del propio reporte y de los tickets habilitados. Hacerlo constituye divulgación no autorizada e infracción.

HD26. (Derecho) No queda comprendida en HP10 la manifestación sobre plazos, tiempos de espera o ausencia de respuesta que no identifique detalle técnico alguno. El investigador puede referirse públicamente a su propia experiencia con los tiempos de tramitación.

HP6. (Prohibición) La comunicación de un identificador CVE reservado no constituye autorización de divulgación.

HD10. (Derecho) Todo reporte validado y corregido es susceptible de divulgación, con independencia de que resulte adjudicable a efectos de CVE.

HD11. (Derecho) El investigador puede solicitar autorización de divulgación una vez el reporte esté validado y corregido, y recibe respuesta motivada sin demora injustificada.

HD12. (Derecho) La acreditación emitida por la plataforma reconoce el hallazgo y no constituye por sí misma autorización de divulgación.

HD22. (Derecho) Al solicitar la autorización, el investigador puede proponer una fecha de divulgación no inferior a noventa días ni superior a ciento ochenta, contados desde la solicitud.

HD30. (Derecho) La fecha propuesta adquiere carácter vinculante cuando la aprueba de forma expresa el equipo de triaje o la empresa responsable de la corrección. Basta la aprobación de una de ellas.

HP13. (Prohibición) En defecto de aprobación expresa conforme a HD30, no procede la divulgación. El transcurso del plazo propuesto no autoriza por sí solo la publicación.

A.9. Solicitud de CVE

HD23. (Derecho) El reporte validado en un programa adjudicable entra en el proceso de publicación de CVE cuando un miembro del equipo de triaje facilita al investigador el acceso al formulario de complementación de Secur0.

HD28. (Derecho) El acceso al formulario se facilita en el momento en que el reporte supera la revisión de triaje.

HD31. (Derecho) Revisado el reporte sin que se haya facilitado dicho acceso, el investigador puede pedir explicación en el propio reporte o mediante ticket, y recibe respuesta motivada.

HO12. (Obligación) El investigador cumplimenta dicho formulario referenciando el reporte por su identificador en la plataforma.

HO13. (Obligación) La solicitud aporta los créditos de quien descubre el fallo y, en la medida de lo posible, las versiones afectadas, la versión en que se introdujo el código vulnerable y el enlace a la corrección o a la nota de parche. Su ausencia puede prolongar el proceso.

HP7. (Prohibición) No se incluye código de explotación, pruebas de concepto ni pasos de reproducción detallados en el canal de solicitud, que no es un canal cifrado. Dicha información permanece en el reporte de la plataforma.

HO14. (Obligación) La solicitud se refiere a un único fallo. Las cadenas pueden dividirse o no asignarse.

HD24. (Derecho) El identificador CVE se publica una vez la empresa marque el reporte como corregido en la plataforma. Secur0 se reserva la facultad de publicar en un plazo más breve, en coordinación con todas las partes, cuando las circunstancias del caso exijan un calendario más ajustado.

A.10. Flujo

HD13. (Derecho) Los mecanismos de flujo no alteran la validez ni la criticidad de un reporte.

HD14. (Derecho) Las condiciones de flujo aplicables son públicas y se conocen con anterioridad a su aplicación.

Las Normas se publican en cuatro partes: preliminar y definiciones, normas del investigador, normas de la empresa, y normas del triaje y de la función CNA. La convención de los identificadores (HD, HO, HP, EO, EF, EP, TO, TF, TP) se explica en 0.7, en la parte preliminar.