Prämienbonus für Forscher

Nützliche Funde belohnen

Ein Prämienbonus bietet einem Forscher einen privaten Anreiz, weitere Funde in Ihrem Programm zur Offenlegung von Schwachstellen (VDP) zu melden. Der Faktor beginnt bei 1× und steigt mit qualifizierenden, vom Team validierten Funden auf bis zu 1,5×. Ein Höchstbetrag begrenzt den Zuschlag pro Meldung.

Der Boost gilt für einen Forscher in einem Programm. Er veröffentlicht weder dessen Identität noch einen öffentlichen Wettbewerb. Der Forscher braucht kein kostenpflichtiges Abonnement. Ihr Team benötigt ein aktives Kit-Abonnement für den Prämienprozess. Nur Mitarbeiter mit der Berechtigung zur Prämienfreigabe dürfen einen Prämienbonus starten oder beenden.

Einen Prämienbonus starten

Öffnen Sie den Forscher in Ihrem Programm und wählen Sie Bonus starten. Legen Sie Laufzeit, maximalen Zuschlag pro Meldung und Währung fest. Die Vorgabe beträgt 30 Tage; zulässig sind 7–90 Tage. Prüfen Sie die Bedingungen und starten Sie den Prämienbonus. Für denselben Forscher kann im selben Programm nur ein Prämienbonus gleichzeitig laufen.

Die Bedingungen stehen ab dem Start fest. Prüfen Sie Höchstbetrag und Währung vorher. Das Team sieht Fortschritt, aktuellen Faktor und Endzeit; das Forscherportal zeigt das private Angebot und seine Regeln.

Den Forscher benachrichtigen

Beim Start ist Forscher per E-Mail benachrichtigen standardmäßig ausgewählt. Lassen Sie Persönliche Nachricht (optional) leer, um eine kurze wertschätzende Nachricht in der Sprache des Forschers zu verwenden. Oder schreiben Sie einen eigenen Text mit bis zu 2.000 Zeichen. Deaktivieren Sie die Option, um den Prämienbonus ohne E-Mail zu starten.

Die E-Mail enthält immer den Einreichungszeitraum, die Prämienstufen, den maximalen Zuschlag pro Meldung, die Berechtigungsregeln und den Hinweis auf die notwendige Prämienfreigabe. Ihr eigener Text ersetzt nur die persönliche Nachricht. Die finanziellen Bedingungen lassen sich damit weder entfernen noch ändern.

Diese E-Mail wird nur beim Start eines neuen Prämienbonus gesendet. Für bestehende Boni wird sie nicht nachträglich versendet. Ist das Tageslimit für ausgehende E-Mails erreicht, versucht Kit den Versand nach dem nächsten Zurücksetzen des Limits erneut, sofern der Bonus noch aktiv ist. Verzögert sich der Versand bis nach Ablauf oder Ende des Bonus, entfällt die E-Mail. Eine vorgemerkte E-Mail oder ein Versandversuch belegt nicht, dass sie im Posteingang angekommen ist.

So steigt der Faktor

Ein Fund zählt, wenn das Team die Meldung validiert und den offiziellen Schweregrad Mittel oder höher festgelegt hat. Es muss sich um einen eigenständigen, prämienberechtigten Fund handeln, der während des Prämienbonus eingereicht wurde. Die Selbsteinschätzung des Forschers und die bloße Sichtung reichen nicht aus.

Qualifizierende validierte Funde	Faktor für neue Meldungen
0	1×
1–2	Bis zu 1,1×
3–4	Bis zu 1,25×
Ab 5	Bis zu 1,5×

Die erste qualifizierende Meldung wird mit 1× eingereicht und erhält selbst keinen Zuschlag. Nach ihrer Validierung gilt bis zu 1,1× für spätere Einreichungen. Auch eine Meldung, die eine höhere Stufe freischaltet, behält ihren Faktor vom Einreichungszeitpunkt.

Niedrige Schweregrade, Duplikate, abgelehnte oder informative Meldungen, Nachtests und freiwillige Boni zählen nicht und erhalten keinen Prämienbonus-Zuschlag. Jede Meldung zählt höchstens einmal. Erneutes Öffnen, Validieren oder Freigeben ihrer Prämie erhöht die Zahl nicht. Eine ungültige Meldung setzt andere Fortschritte nicht zurück.

Korrigiert das Team eine Einstufung oder senkt den Schweregrad unter Mittel, können Anzahl und Faktor für künftige Meldungen sinken. Bereits gespeicherte Angebote anderer Einreichungen bleiben bestehen.

Gespeicherte Angebote bleiben nach dem Ende gültig

Kit speichert Bedingungen und Faktor bei der Einreichung. Der Startzeitpunkt gehört zum Zeitraum, der Endzeitpunkt nicht. Beachten Sie die angezeigte Endzeit mit Zeitzone.

Eine rechtzeitig eingereichte Meldung behält ihr Angebot, auch wenn Validierung oder Prämienfreigabe erst nach dem Ende stattfinden. Sie muss weiterhin offiziell mindestens Mittel erreichen und eine genehmigte Prämie erhalten. Spätere Einreichungen erhalten aus diesem Angebot keinen Zuschlag.

Berechtigte Mitarbeiter können den Prämienbonus vorzeitig beenden. Das betrifft nur neue Einreichungen. Gespeicherte Angebote früherer Meldungen bleiben bestehen. Ein neuer Prämienbonus beginnt mit einem neuen Fortschrittsstand.

Grundprämie, Zuschlag und Gesamtbetrag freigeben

Geben Sie die Grundprämie gemäß Ihren üblichen Prämienregeln ein. Kit berechnet den Zuschlag anhand des gespeicherten Faktors und Höchstbetrags und zeigt den auszuzahlenden Gesamtbetrag. Nur qualifizierende Funde ab Mittel erhalten den Zuschlag.

Bei 1,5× und maximal 200 € Zuschlag ergibt eine Grundprämie von 300 € einen Zuschlag von 150 € und insgesamt 450 €. Bei 1.000 € Grundprämie wären es rechnerisch 500 € Zuschlag; der Höchstbetrag begrenzt ihn auf 200 €, insgesamt also 1.200 €.

Darum heißt es bis zu 1,5×. Die Prämienwährung muss der Prämienbonus-Währung entsprechen; Kit rechnet den Höchstbetrag nicht in andere Währungen um. Mitarbeiter prüfen und genehmigen den Gesamtbetrag. Der Boost validiert keine Meldung und löst weder Freigabe noch Zahlung automatisch aus. Die Schutzregeln für Auszahlung, Anpassung und Widerruf gelten weiter.

Eine Prämie nach geänderter Berechtigung korrigieren

Entfällt der Prämienbonus nach einer Korrektur des Schweregrads oder einem Forscherwechsel, bleibt die Auszahlung der bereits genehmigten Prämie gesperrt, bis sie korrigiert wurde. Eine reine Betragsanpassung behält den gespeicherten Faktor und Höchstbetrag bei und entfernt den Zuschlag daher nicht.

Öffnen Sie Prämie widerrufen, prüfen Sie den aktuellen Gesamtbetrag und geben Sie eine Begründung ein. Entscheidung und Status der Meldung bleiben bestehen. Kit erfasst im Finanzhauptbuch eine Gegenbuchung über den widerrufenen Gesamtbetrag. Anschließend können Sie eine neue Prämie genehmigen. Ist die Meldung nicht mehr für den Prämienbonus berechtigt, erhält die neue Prämie keinen Zuschlag. Die Einreichungsbedingungen bleiben gespeichert. Ursprüngliche Gutschrift, Gegenbuchung und neue Gutschrift ergeben zusammen den korrigierten geschuldeten Betrag.

Bei einer ausstehenden, laufenden oder abgeschlossenen Auszahlung ist ein Widerruf nicht möglich. Markieren Sie eine Auszahlung nicht nur deshalb als fehlgeschlagen, um diese Sperre zu umgehen.

Über MCP verwenden Sie csirt_revoke_bounty mit report_id, reason, expected_amount_cents (aktueller Gesamtbetrag) und expected_award_id (Prefix-ID der aktuellen Prämie). Prüfen Sie die Prämie zuvor mit dem Benutzer. Ändert sich der Betrag oder wird die Prämie ersetzt, verweigert Kit den Widerruf. Rufen Sie die aktuelle Prämie ab und lassen Sie den Widerruf erneut bestätigen. Die neue Prämie genehmigen Sie separat mit csirt_approve_bounty.

MCP verwendet dieselben Berechtigungen

Berechtigte Mitarbeiter erstellen Angebote mit csirt_create_bounty_boost und den Feldern researcher_id, duration_days, bonus_cap_cents und currency. csirt_list_bounty_boosts liest Angebote mit page und limit; csirt_end_bounty_boost beendet sie mit boost_id.

Meldungs- und Prämienzusammenfassungen zeigen das gespeicherte Angebot und die Beträge. Geben Sie bei einer Prämie mit Bonus base_amount_cents an, damit Kit den Zuschlag berechnet. Das bestehende Feld amount_cents bezeichnet den Gesamtbetrag, keine erneut zu multiplizierende Grundprämie. Übergeben Sie nicht beide Felder. Menschliche Bestätigung und finanzielle Berechtigungen bleiben erforderlich. Siehe VDP und KI.

Wenn Sie über MCP eine Prämie mit base_amount_cents genehmigen, müssen Sie auch expected_total_amount_cents angeben. Das gilt auch, wenn die Meldung derzeit keinen Bonuszuschlag erhält. Prüfen Sie Grundprämie, Zuschlag und Gesamtbetrag zuvor mit dem Benutzer. Ändert sich der berechnete Gesamtbetrag vor der Freigabe, lehnt Kit die Zuerkennung ab. Prüfen Sie die neuen Beträge vor einer erneuten Bestätigung. Der bisherige Parameter amount_cents bezeichnet weiterhin den Gesamtbetrag und erfordert dieses zusätzliche Feld nicht.