---
title: "Bug bounty"
description: "Bug bounty to program nagród za odpowiedzialne zgłaszanie luk bezpieczeństwa w systemach firmy. Sprawdź, jak działają takie programy i ile płacą."
url: "https://nodea.pl/pl/slownik-pojec/bug-bounty"
lang: "pl"
updated: "2026-07-13"
---

# Bug bounty

> Bug bounty to program, w którym firma płaci badaczom bezpieczeństwa za odpowiedzialne zgłaszanie luk znalezionych w jej systemach, zamiast czekać, aż odkryją je przestępcy.

**Bug bounty** to program nagród, w ramach którego organizacja płaci niezależnym badaczom bezpieczeństwa (etycznym hakerom) za odpowiedzialne zgłaszanie luk znalezionych w jej aplikacjach, infrastrukturze lub urządzeniach. Idea jest prosta: lepiej zapłacić za podatność życzliwemu znalazcy, niż pozwolić, by odkrył ją i wykorzystał przestępca. Pierwsze programy uruchomiła Netscape w latach 90., a dziś prowadzą je zarówno giganci (Google, Microsoft, Meta), jak i średnie firmy — samodzielnie lub przez platformy typu HackerOne, Bugcrowd czy Intigriti.

## Jak działa program bug bounty

Firma publikuje politykę programu, która określa:

- **zakres (scope)** — domeny, aplikacje i systemy, które wolno testować, oraz wyłączenia,
- **zasady gry** — zakaz eksfiltracji danych, socjotechniki czy ataków DoS, wymóg poufności do czasu naprawy,
- **tabelę nagród** — stawki zależne od krytyczności, zwykle wg skali CVSS; od kilkuset złotych za drobne błędy po setki tysięcy dolarów za krytyczne luki (np. RCE) u największych,
- **proces zgłoszenia** — raport z krokami reprodukcji i dowodem (proof of concept).

Zgłoszenie przechodzi triage (weryfikację i deduplikację — płaci się tylko pierwszemu znalazcy), następnie zespół naprawia lukę, a badacz otrzymuje nagrodę i często publiczne podziękowanie. Programy bywają publiczne (otwarte dla każdego) lub prywatne (na zaproszenie). Łagodniejszą formą jest polityka *responsible disclosure* / VDP — kanał zgłaszania luk bez gwarantowanych wypłat, sygnalizowany m.in. plikiem *security.txt*.

## Zastosowanie w praktyce

Bug bounty uzupełnia — a nie zastępuje — [testy penetracyjne](https://nodea.pl/pl/slownik-pojec/testy-penetracyjne) i wewnętrzne SDLC: pentest daje systematyczne pokrycie w ustalonym czasie, a bounty ciągłą presję tysięcy par oczu o różnych specjalizacjach. Najczęściej zgłaszane klasy podatności pokrywają się z listą [OWASP](https://nodea.pl/pl/slownik-pojec/owasp) Top 10: [XSS](https://nodea.pl/pl/slownik-pojec/xss), błędy kontroli dostępu (IDOR), SQL injection czy SSRF.

Dla firmy warunkiem sensowności programu jest dojrzałość: sprawny proces triage'u, realny budżet na nagrody i zdolność szybkiego łatania. Dla badaczy bug bounty stało się ścieżką kariery — najlepsi łowcy utrzymują się wyłącznie z nagród, a platformy publikują rankingi i statystyki wypłat.

### Czym różni się bug bounty od testów penetracyjnych?

Pentest to zlecone, ograniczone w czasie badanie wykonywane przez wybrany zespół za stałą stawkę, zakończone raportem. Bug bounty działa ciągle i angażuje otwartą społeczność badaczy, a firma płaci wyłącznie za faktycznie znalezione, unikalne podatności. Dojrzałe organizacje stosują oba podejścia równolegle.

### Czy udział w bug bounty jest legalny?

Tak, pod warunkiem działania w granicach opublikowanej polityki programu: testowania wyłącznie systemów objętych zakresem, nieeksfiltrowania danych i zgłaszania luk poufnie. Testowanie systemów bez zgody właściciela pozostaje przestępstwem, nawet w dobrej wierze.

## Powiązane

- [Bug](https://nodea.pl/pl/slownik-pojec/bug)
- [Exploit](https://nodea.pl/pl/slownik-pojec/exploit)
- [Testy penetracyjne](https://nodea.pl/pl/slownik-pojec/testy-penetracyjne)
- [OWASP](https://nodea.pl/pl/slownik-pojec/owasp)
- [XSS](https://nodea.pl/pl/slownik-pojec/xss)

---

Wersje językowe: [en](https://nodea.io/en/glossary/bug-bounty.md)  
Spis treści witryny: [llms.txt](https://nodea.pl/pl/llms.txt)