A programok hatókört, jogosult sebezhetőségosztályokat, safe-harbour feltételeket, bejelentési csatornákat, triage-elvárásokat és jutalomstruktúrákat határoznak meg — jellemzően közvetítő platformon vagy nyilvános szabályzaton keresztül működve. A jutalom a keresés ösztönzése, nem a minőség garanciája: a programoknak továbbra is validálniuk, triage-olniuk és javítaniuk kell az érkezőket.
A bounty a biztosítási munkát egészíti ki, nem helyettesíti. Széles, kiszámíthatatlan kutatói populáció figyelmét közösségi módon mozgósítja, ami a belső tesztelés által elszalasztott hibákat hozhat felszínre — de zajt, duplikátumokat és hatókörön kívüli beadványokat is termel, amelyeket a felkészületlen triage-funkció nem tud feldolgozni.
Legfontosabb pontok
ProgramtervA bejelentések meghívása előtt meg kell határozni a hatókört, a kizárásokat, a felhatalmazott tesztelési határokat, a súlyossági és jutalomkritériumokat, a reagálási célokat, a safe-harbour nyelvezetet, valamint a belső triage- és elhárítási útvonalat.
Triage-kapacitásA duplikátumok, az alacsony hatású megállapítások és a nem-sebezhetőségek magas arányával kell számolni; az embereket és a folyamatot a jutalmak finanszírozása előtt kell fedezni a volumenre.
ProgramilleszkedésSebezhetőség-publikálási szabályzattal, belső teszteléssel és elhárítási tulajdonlással kell kombinálni — a bounty, amelyhez nem tartozik a javításokért felelős személy, felelősséget gyűjt, nem biztonságot.
Fontos korlátA részvétel nem bizonyítja, hogy a tesztelt hatókör biztonságos, és a fizetés nem vásárol bizalmas kezelést vagy kutatói átvilágítást. A kutatók képzettsége és viselkedése változó, a hatókörhatárokat tesztelni fogják, és a bounty ellenséges figyelmet is vonzhat a hasznos bejelentések mellett.