Un bug bounty è un invito permanente: "trova vulnerabilità nei nostri sistemi, segnalale in modo responsabile, e ti paghiamo". Piattaforme come HackerOne e Bugcrowd fanno da intermediari – definiscono il perimetro (scope), gestiscono le segnalazioni, arbitrano le ricompense, che vanno da poche centinaia a centinaia di migliaia di euro per le falle critiche.
Per le aziende è un modo di comprare migliaia di occhi esperti pagando solo i risultati; il fratello minore è il VDP (vulnerability disclosure program): niente ricompense, ma un canale legale e chiaro per chi trova qualcosa – la sua assenza è il motivo per cui tante falle finiscono su X invece che nella tua inbox. Lato ricercatore è un mestiere vero: Fabrizio è su HackerOne come fabriziosalmi.