Comunicación con triage

01Objetivo

Gestionar la relación con el equipo de triage después de enviar el reporte: negociar severidad, responder a dudas, y disputar un cierre incorrecto sin quemar la relación con el programa.

02Teoría

El triage no es un adversario, pero tampoco un árbitro neutral puro

Como se plantea en el módulo 1, el equipo de triage tiene incentivos a cerrar rápido y a la baja. Esto no significa mala fe: significa que la carga de la prueba recae siempre en el reporte, nunca en el triage para justificar un rechazo. La estrategia de comunicación correcta parte de esa asimetría, no de asumir buena fe automática ni mala fe automática.

Qué hacer cuando piden más información

• Responder con la misma disciplina del reporte original: datos concretos, no explicaciones adicionales en abstracto. Si piden "más detalle sobre el impacto", se responde con otra prueba concreta (otro dato expuesto, otra cuenta de prueba), no con más adjetivos.
• Si la petición de información revela que el reproducible no estaba tan claro como se pensaba, es información útil para el módulo 14: ese fallo de claridad se corrige en el próximo reporte, no se repite.
• Responder rápido. La ventana de atención del triage sobre un ticket concreto es limitada; una respuesta en horas tiene más probabilidad de reabrir contexto reciente que una respuesta en una semana.

Qué hacer cuando cierran como N/A o duplicado y no se está de acuerdo

1. Pide la prueba del duplicado, con educación. Un "duplicado" sin ID o fecha de referencia es una afirmación, no una prueba. Es razonable pedir confirmación de que se trata realmente del mismo hallazgo, no solo de la misma categoría general (dos IDOR en endpoints distintos no son el mismo hallazgo).
2. Si el cierre es "no aplica" por supuesta falta de impacto, aporta la prueba de impacto que faltaba, no repitas el argumento ya dado. Si ya se aportó y se ignoró, se cita explícitamente qué parte del reporte original ya cubría ese punto.
3. Usa el canal de disputa de la plataforma formalmente (la mayoría de plataformas tienen un proceso de mediación) en vez de insistir solo en los comentarios del ticket, si la primera respuesta no resuelve el desacuerdo.
4. Sabe cuándo soltar. Si tras una disputa razonada el programa mantiene su decisión, insistir más allá de eso rara vez cambia el resultado y sí daña la relación para reportes futuros. El tiempo se invierte mejor en el siguiente hallazgo (módulo 12). En el VDP de la NASA del módulo 7, el segundo informe recibió un walkthrough detallado a petición expresa del triage — y aun así se cerró como duplicado. No todas las peticiones de más información terminan revirtiendo el cierre; a veces el triage solo está confirmando su propia decisión, no reabriéndola.

Mantener buena reputación en la plataforma, a largo plazo

La reputación (puntuación de hunter, historial de reportes válidos) condiciona el acceso a programas privados invitación-only, que suelen tener menos competencia que los públicos. Reportes bien documentados, poco spam de duplicados evidentes (verificar antes de enviar si ya existe el hallazgo, cuando la plataforma lo permite), y comunicación profesional incluso en desacuerdos, son la inversión que paga en acceso a mejores programas más adelante.

03Resumen operativo

1. La carga de la prueba es siempre del reporte, no asumas buena ni mala fe del triage por defecto.
2. Responde a peticiones de más información con datos concretos nuevos, no con más explicación en abstracto.
3. Disputa un cierre incorrecto con prueba específica y por el canal formal, pero sabe cuándo soltar.
4. La reputación a largo plazo en la plataforma es un activo: se construye con reportes limpios y comunicación profesional, no con volumen.