Оставить заявку

Язык

Безопасность приложений

Веб, API, мобильные приложения и исходный код

Инфраструктура и облако

Сети, облачные платформы, внешний периметр

Имитация атак

Целевые атаки на людей, процессы и технологии

AI, Web3 и криптография

LLM-приложения, смарт-контракты, криптографические схемы

Программы и контроль

Bug bounty, раскрытие уязвимостей, непрерывное и регуляторное тестирование

Все услугиКак мы работаем
Оставить заявку

Опубликуйте программу и назовите вознаграждение

Вы платите за результат: вознаграждение за каждую подтверждённую уязвимость и нашу комиссию с него. Сообщение, которое ничего не доказывает, вам ничего не стоит.

Опубликовать программуBug bounty: условия для владельцев

01Требования

Что нам нужно от вас

Документы — это то, что отличает программу от приглашения атаковать чужую систему.

  • Документы владельца

    Для компании — выписка из коммерческого регистра. Для индивидуального предпринимателя — выписка из регистра и документ, удостоверяющий личность. Программы частных лиц не принимаются.

  • Право подписи

    Подписант — член органа управления компании либо лицо с доверенностью.

  • Подтверждение контроля над каждым объектом

    DNS-запись или файл с кодом, который выдаём мы. Если это невозможно — регистрация домена или договор с провайдером.

  • Человек, который отвечает

    Контактное лицо, которое назначает вознаграждения в течение 10 рабочих дней после получения сообщения и сообщает нам, когда находка исправлена.

  • Аванс

    Предоплата не меньше наибольшего вознаграждения программы вместе с комиссией. Вознаграждение и комиссия за каждое засчитанное сообщение списываются с неё, и на каждое списание выставляется счёт. Неизрасходованное возвращается при закрытии программы.

02Шаги

От заявки до первого сообщения

  1. Заявка

    Вы отправляете форму на этой странице. Менеджер отвечает в течение 1 рабочего дня.

  2. Проверка

    Вы присылаете документы и размещаете выданный нами код на каждом домене программы.

  3. Программа

    Вместе записываем объём, исключения, таблицу вознаграждений и правила.

  4. Договор и аванс

    Вы подписываете договор и вносите аванс по счёту на предоплату.

  5. Публикация

    Программа публикуется либо открывается исследователям, которых одобрили вы.

  6. Сообщения

    Каждое сообщение мы рассматриваем в течение 5 рабочих дней после получения и передаём вам подтверждённые — с критичностью и шагами воспроизведения.

03Стоимость

За что вы платите

  • Вознаграждения

    За подтверждённые уязвимости, в пределах таблицы, которую составили вы. Вознаграждение в программе не может быть меньше 50 €.

  • Комиссия

    20 % от каждого вознаграждения, сверх него. Счёт на комиссию выставляется вместе с вознаграждением.

  • Больше ничего

    Проверка владельца, публикация, рассмотрение сообщений и выплаты исследователям входят в стоимость.

04Программа

Что сказано в программе

  • Объём

    Домены, приложения и интерфейсы, которые можно проверять.

  • Исключения

    Что проверять нельзя и какие приёмы запрещены.

  • Таблица вознаграждений

    Вознаграждение за находку каждого уровня критичности: низкого, среднего, высокого и критического.

  • Правила

    Правила площадки и то, что к ним добавляете вы: тестовые учётные записи, часы, пределы нагрузки.

  • Защита исследователя

    Ваше обязательство не преследовать исследователей, которые соблюдают правила.

  • Видимость

    Публичная — для каждого зарегистрированного исследователя, или закрытая — для тех, кого одобрили вы.

05Вопросы

О чём спрашивают владельцы

А если никто ничего не найдёт?

Тогда вы ничего не платите. Аванс возвращается полностью при закрытии программы.

Можно ли остановить программу?

Да. Вы можете в любой момент приостановить или закрыть программу, уведомив нас. Сообщения, полученные до этого, рассматриваются по правилам программы, и вы платите за засчитанные.

Кто видит сообщения?

Исследователь, который написал сообщение, наши специалисты, которые его рассматривают, и лица, которых назвали вы. Больше никто.

А если сообщение — не уязвимость?

Мы отвечаем на него сами. К вам попадают только подтверждённые сообщения.

Готов ли сайт к программе?

Если его никогда не проверяли, начните с бесплатной проверки сайта или с пентеста. Программа — для того, что останется после них.

06Заявка

Опубликовать программу

  • Ответ в течение 1 рабочего дня
  • Вы платите только за подтверждённые уязвимости
  • Комиссия 20 % — и больше ничего
  • Неизрасходованный аванс возвращается

Опубликовать программу bug bounty

Назовите сайт или сервис и вознаграждения. Менеджер ответит в течение 1 рабочего дня и скажет, какие документы подтверждают, что система ваша.

Кому ответить

Ответим на этот адрес, если вы не выберете другой канал.

Индивидуальный предприниматель указывает своё имя.

Удобный канал связи
Программа

Домен или URL сайта либо основной системы, которую нужно проверить, например app.example.com.

Кто видит программу

Вознаграждение за находку низкой критичности, не меньше 50 €.

Вознаграждение за находку критического уровня.

Что можно проверять, что нельзя и что нужно знать исследователям. Не указывайте пароли, ключи и детали уязвимостей.

Подтверждения

Не отправляйте через форму учётные данные, ключи и детали уязвимостей. Защищённый канал согласуем после первого ответа.

Автоматическая проверка от злоупотреблений

Osaühing Ida Portal обрабатывает данные этой формы, чтобы рассмотреть её и ответить вам. Основание — статья 6(1)(b) GDPR, а если вы пишете от имени организации — статья 6(1)(f). Получатели, передача за пределы ЕЭЗ, сроки хранения и ваши права описаны в политике конфиденциальности.