Programy nastavují rozsah, způsobilé třídy zranitelností, podmínky safe harbor, kanály hlášení, očekávání triage a struktury odměn — obvykle operující přes zprostředkovatelskou platformu či publikovanou politiku. Odměna je pobídka k hledání, nikoli záruka kvality: programy stále musí validovat, třídit a opravovat to, co dorazí.
Bounty doplňuje, nikoli nahrazuje práci záruky. Crowdsourcuje pozornost napříč širokou, nepředvídatelnou populací výzkumníků, což může vyvěršit defekty, které interní testování minulo — ale také produkuje šum, duplicity a podání mimo rozsah, které nepřipravená funkce triage nemůže absorbovat.
Klíčové body
Návrh programuPřed vyzváním hlášení definujte rozsah, vyloučení, hranice autorizovaného testování, kritéria závažnosti a odměn, cíle reakce, formulace safe harbor a interní cestu triage a nápravy.
Kapacita triageOčekávejte vysoký podíl duplicit, málo dopadových nálezů a nezranitelností; před financováním odměn financujte lidi a proces pro zvládnutí objemu.
Vhodnost programuKombinujte s politikou zveřejnění zranitelností, interním testováním a vlastnictvím nápravy — bounty bez kohokoli odpovědného za opravy sbírá odpovědnost, nikoli zabezpečení.
Důležité omezeníÚčast nedokazuje, že testovaný rozsah je bezpečný, a platba nekupuje důvěrnost ani prověření výzkumníků. Výzkumníci se liší v dovednosti a jednání, hranice rozsahu budou testovány a bounty může přitáhnout protivnickou pozornost i užitečná hlášení.