Programa de bug bounty.

Iniciativa formal pela qual uma organizacao convida investigadores externos a comunicar vulnerabilidades e paga recompensas em funcao do impacto. Pertence à categoria Ataques e ameaças da cibersegurança.

Iniciativa formal pela qual uma organizacao convida investigadores externos a comunicar vulnerabilidades e paga recompensas em funcao do impacto.

Um programa de bug bounty transforma o teste de seguranca em colaboracao publica num processo controlado. A organizacao publica ambito, regras, exclusoes e escaloes de recompensa e recebe relatorios de investigadores independentes pela sua propria plataforma ou por um operador de triagem como HackerOne, Bugcrowd ou Intigriti. As vulnerabilidades sao validadas, reproduzidas, priorizadas e corrigidas, com pagamentos associados a severidade (frequentemente CVSS). Os programas podem ser publicos ou privados (apenas por convite) e complementam, sem substituir, a equipa interna de AppSec, ferramentas SAST/DAST e testes de penetracao. Uma clausula de safe harbour legal e essencial para que investigadores de boa-fe nao sejam processados ao abrigo de leis anti-pirataria.

As defesas contra Programa de bug bounty costumam combinar controles técnicos e práticas operacionais, conforme detalhado na definição acima.

Nomes alternativos comuns: VRP, Programa de recompensa por vulnerabilidades.