Registrazione
Azienda, referente e dominio. Una persona verifica la richiesta entro 2 giorni lavorativi.
home / servizi / bug bounty
servizio · bug bounty privato
Bug bounty privato: paghi solo le evidenze validate.
Un programma riservato con ricercatori verificati, un perimetro firmato e un revisore che valida ogni segnalazione. Il compenso dipende dalla prova, non dal numero di segnalazioni.
come si attiva
Quattro passi, con un controllo a ogni passo.
Verifica del dominio
Un record DNS dimostra il controllo del dominio. Senza record, il programma non si attiva.
Perimetro firmato
Host inclusi, host esclusi e regole d'ingaggio. Ogni modifica è una nuova versione firmata.
Ricompense definite
Compensi per livello di gravità, definiti prima dell'avvio e soggetti a un tetto mensile concordato.
come si paga
Il compenso segue la prova, non la quantità. Si paga alla validazione.
| Gravità | Punteggio CVSS v4.0 | Quando si paga |
|---|---|---|
| Critica | 9,0 – 10,0 | Alla validazione della segnalazione |
| Alta | 7,0 – 8,9 | Alla validazione della segnalazione |
| Media | 4,0 – 6,9 | Alla validazione della segnalazione |
| Bassa | 0,1 – 3,9 | Alla validazione della segnalazione |
| Informativa | 0,0 | Nessun compenso: segnalazione utile, senza impatto diretto |
regole che proteggono entrambe le parti
Nessun incentivo a gonfiare la gravità.
Un solo pagamento
Ogni vulnerabilità validata viene remunerata una sola volta. I duplicati non sono remunerati.
Fuori perimetro, nessun compenso
Una segnalazione su un host fuori perimetro viene chiusa e il cliente ne è avvisato.
Revisore umano
Ogni segnalazione è riprodotta da una persona prima di essere accettata.
cosa ottiene il cliente
Più controllo, nessuna sorpresa.
Incluso
- Perimetro e regole scritti prima dell'avvio
- Ogni segnalazione con passi di riproduzione
- Verdetto motivato e verifica delle correzioni
- Un tetto mensile di spesa concordato
Non incluso
- Test senza un perimetro firmato
- Pagamenti per segnalazioni duplicate o fuori perimetro
- Pubblicazione dei risultati senza autorizzazione
perché scegliere questo programma
Meno rumore, spesa sotto controllo, prove che reggono davanti a un auditor.
Ogni segnalazione è riprodotta
Una persona riproduce la vulnerabilità prima che venga accettata: il tuo team legge solo segnalazioni dimostrate.
Spesa prevedibile
Compensi per gravità scritti prima dell'avvio e un tetto mensile concordato. Nessuna sorpresa a fine mese.
Evidenze per GDPR e NIS2
Il registro delle segnalazioni e delle correzioni documenta come gestisci le vulnerabilità, come chiedono GDPR art. 32 e NIS2 art. 21.
regole d'ingaggio
Cosa è consentito, e come si segnala.
Regole scritte e firmate
Il perimetro, i metodi ammessi e i divieti (negazione del servizio, ingegneria sociale, accesso a dati reali oltre il necessario) sono messi per iscritto prima dell'avvio.
Un solo canale di segnalazione
I ricercatori segnalano tramite un canale unico, con passi di riproduzione. Ogni modifica alle regole è una nuova versione firmata.
un primo passo più leggero
Programma di divulgazione coordinata gestito (VDP).
Per chi non vuole ancora pagare ricompense
Pubblichi un canale per ricevere segnalazioni e noi facciamo il triage: riproduzione, gravità e risposta a chi ha segnalato. Su preventivo.
Si può evolvere in bug bounty
Se il flusso di segnalazioni lo giustifica, si aggiungono ricercatori verificati e ricompense, con le stesse regole.
perché serve
Il problema non è trovare vulnerabilità: è verificarle.
Nel 2026 diversi programmi di bug bounty aperti hanno sospeso o ridotto i pagamenti perché sommersi da segnalazioni automatiche non verificate. Secondo la stampa di settore, curl ha chiuso il proprio bounty su HackerOne, Bugcrowd ha registrato più del quadruplo di segnalazioni in tre settimane, Intel ha sospeso le ricompense in denaro e Google ha messo in pausa dal 1° ottobre il programma per i progetti open source.
Un programma riservato risolve il problema alla radice: ricercatori verificati, perimetro firmato e una persona che riproduce ogni segnalazione prima di accettarla. L'azienda paga solo ciò che è dimostrato, e non perde tempo a leggere rumore.
Fonti: Malwarebytes, BleepingComputer, TechTarget.
domande
Le domande più frequenti sul bug bounty privato.
Cosa succede se nessun ricercatore trova nulla?
Paghi il canone concordato, ma nessun compenso: le ricompense scattano solo per segnalazioni validate.
Posso limitare la spesa?
Sì. Il tetto mensile di spesa è concordato prima dell'avvio e scritto nella proposta.
Come vengono trattate le segnalazioni duplicate?
Ogni vulnerabilità validata viene remunerata una sola volta: i duplicati non sono remunerati.
Chi può testare i miei sistemi?
Solo i ricercatori verificati ammessi al programma, e solo sugli host elencati nel perimetro firmato. Ogni altro host è fuori perimetro.
Vuoi attivare un programma riservato sul tuo perimetro?
Ti rispondiamo a mano con una proposta scritta: canone, ricompense e perimetro.