Programy nastavujú rozsah, oprávnené triedy zraniteľností, podmienky bezpečnej prístavnosti, reportovacie kanály, očakávania triáže a štruktúry odmien — typicky operujúc cez mediačnú platformu alebo zverejnenú politiku. Odmena je stimul pozerať sa, nie záruka kvality: programy musia stále validovať, triážovať a opravovať to, čo príde.
Bounty dopĺňa namiesto nahrádza prácu záruky. Crowdsourcuje pozornosť cez širokú, nepredvídateľnú populáciu výskumníkov, čo môže odhaliť chyby, ktoré interné testovanie minulo — no produkuje aj šum, duplikáty a submise mimo rozsahu, ktoré nepripravená triážová funkcia nedokáže absorbovať.
Kľúčové body
Návrh programuPred pozvaním správ definovať rozsah, vylúčenia, autorizované hranice testovania, kritériá závažnosti a odmien, ciele reakcie, jazyk bezpečnej prístavnosti a internú cestu triáže a nápravy.
Kapacita triážeOčakávať vysoký podiel duplikátov, nálezov s nízkym dopadom a nezraniteľností; pred financovaním odmien financovať ľudí a proces na spracovanie objemu.
Vhodnosť programuKombinovať s politikou zverejňovania zraniteľností, interným testovaním a vlastníctvom nápravy — bounty bez nikoho zodpovedného za opravy zbiera zodpovednosť, nie bezpečnosť.
Dôležité obmedzenieÚčasť nedokazuje, že testovaný rozsah je bezpečný, a platba nekupuje dôvernosť ani overenie výskumníka. Výskumníci sa líšia v zručnosti a správaní, hranice rozsahu budú testované a bounty môže prilákať protivnícku pozornosť rovnako ako užitočné správy.