GitHub объявил о значительных изменениях в своей программе bug bounty. Как сообщается в блоге компании, реструктуризация направлена на улучшение опыта исследователей безопасности и повышение эффективности программы.
Что изменилось
Основные изменения включают создание постоянной VIP-программы, пересмотр таблицы выплат для публичной программы и введение требования сигнала на платформе HackerOne.
VIP-программа
GitHub формализует постоянную частную (инвайт-только) VIP-программу для квалифицированных исследователей, которые последовательно предоставляют высококачественные и высокоэффективные отчёты. Участники VIP-программы получат более высокие выплаты, более быстрое время ответа и более тесное сотрудничество с командой инженеров безопасности GitHub.
Таблица выплат VIP-программы:
- Низкий: $1,000
- Средний: $7,500
- Высокий: $20,000
- Критический: $30,000+
Чтобы квалифицироваться, исследователь должен выполнить хотя бы одно из следующих условий:
- Одно критическое открытие
- Два высоких открытия
- Четыре средних открытия
- Семь низких открытий
Как отмечает GitHub, «вы зарабатываете больше не отправляя больше, а отправляя лучше».
Новая публичная таблица выплат
GitHub также обновляет таблицу выплат для публичной программы, переходя на статические выплаты — единую чёткую сумму за уровень серьёзности вместо диапазона. Новая таблица:
- Низкий: $250
- Средний: $2,000
- Высокий: $5,000
- Критический: $10,000
Компания сохраняет возможность начисления дискреционных бонусов за работу, превосходящую ожидания.
Требование сигнала
Для снижения объёма низкокачественных и сгенерированных ИИ отчётов GitHub вводит требование сигнала HackerOne для публичной программы. Исследователи, не соответствующие порогу сигнала, получат ограниченное количество разрешённых отправок (до четырёх начальных), чтобы продемонстрировать свои навыки.
Что остаётся без изменений
GitHub подтверждает, что обязательства по быстрым выплатам, чёткой коммуникации и уважительному отношению к исследователям остаются прежними. Отчёты, поданные до вступления изменений в силу (до 27 июля 2026 года), будут обрабатываться по предыдущей структуре выплат.
Что это значит
Реструктуризация программы bug bounty GitHub отражает стремление компании сосредоточиться на качестве, а не количестве отчётов. Введение VIP-программы и требования сигнала может снизить нагрузку на команду безопасности и улучшить опыт для серьёзных исследователей, но также может ограничить доступ для новичков. Изменения вступают в силу с 27 июля 2026 года.
Комментарии · 0
Войдите, чтобы участвовать в обсуждении.