Kit und Open Bug Bounty: Meldungen und Ihre Reaktion
Open Bug Bounty prüft Einreichungen nach und benachrichtigt Website-Betreiber kostenlos, nach der eigenen Offenlegungsfrist. Kit hält fest, wie Ihr Team reagiert, einschließlich Bestätigungsfristen und Unterlagen für Prämien. Forscher bringt Kit nicht mit.
Was passt zu Ihrem Team?
Kit passt zu Teams, die Folgendes brauchen:
- Eine zuständige Person und eine nächste Aktion für jede Meldung
- Nachweise für ihren Offenlegungsprozess
- Einen Eingang für mehr Meldungstypen
- Bestätigungsfristen und Reaktionskennzahlen
- Prämienunterlagen für Meldungen, die sie selbst bearbeiten
Open Bug Bounty passt zu Teams, die Folgendes brauchen:
- Externe Forscher, die öffentliche Websites testen
- Kostenlose Nachprüfung unterstützter Meldungstypen
- Einen öffentlichen Nachweis von Forschungsergebnissen
- Direkten Austausch zwischen Betreiber und Forscher
- Einen Dienst mit etablierter Offenlegungsfrist
Was Open Bug Bounty gut kann
Eine Forscher-Community, Nachprüfung und öffentliche Offenlegungseinträge.
Forscher, die öffentliche Websites testen
Forscher melden Probleme, die sie im Web finden – auch auf Websites, deren Betreiber sie nie angeworben haben.
In der Praxis: Kit stellt einen Meldekanal bereit, aber keine Forscher, die Schwachstellen suchen.
Nachprüfung vor der Benachrichtigung
Open Bug Bounty reproduziert unterstützte Meldungstypen, bevor es dem Betreiber schreibt. Laut FAQ dauert das bis zu fünf Tage bei XSS und bis zu zehn bei fehlerhafter Zugriffskontrolle.
In der Praxis: Der Betreiber erhält eine Meldung, die unabhängig geprüft wurde.
Öffentliche Offenlegungseinträge
Öffentliche Einreichungen haben Seiten mit Zeitstempel, CVSS-Score und CWE-Einordnung. Open Bug Bounty schränkt das Entfernen dieser Einträge ein.
In der Praxis: Forscher können auf einen öffentlichen Nachweis ihrer Funde verweisen. Über dieses Archiv haben Betreiber keine Kontrolle.
Was Kit enthält
Jede Meldung bekommt eine Frist und eine Erinnerung, damit keine unbeantwortet liegen bleibt, während Sie ausliefern. Forscher oder eine betreute Sichtung bringt Kit nicht mit.
Forscher sehen fehlende Auszahlungsunterlagen
Die Meldungsseite zeigt, ob eine Vereinbarung, ein Steuerformular oder Auszahlungsdaten fehlen. Forscher nehmen die hinterlegte Vereinbarung per Klick an. Abgelehnte Steuerformulare tragen eine Begründung.
Den fehlenden Schritt erledigt der Forscher direkt auf seiner eigenen Meldungsseite.
Die nächste Aktion für jede Meldung
Kit hebt den aktuellen Schritt hervor: Zuweisung, Bewertung, Entscheidung oder Prämie. Wer eine Meldung zurücksetzt, muss einen Kommentar hinterlassen. Liegt eine Meldung still, folgen Erinnerungen und danach eine Eskalation an die Admins.
Die Meldung zeigt, was zu tun ist, und die letzte Eskalation kann die zuständige Person nicht stummschalten.
Eine Bestätigungsfrist
Jede Meldung startet standardmäßig eine 72-Stunden-Bestätigungsfrist, mit Warnungen, wenn das Ende näher rückt. „Klärung erforderlich“ hält die Frist und die Erinnerungen bei Stillstand an.
Das Dashboard erfasst Reaktions- und Lösungszeiten für die Meldungen Ihres Teams.
Sichtungswerkzeuge für Ihren Assistenten
Verbinden Sie einen MCP-Client, um Meldungen zu lesen, und nutzen Sie geführte Prompts für Sichtung, Bewertung, Prämienfreigabe und Postmortems. Schreibzugriff setzt Zustimmung und die passende Rolle voraus.
Antworten an Forscher werden als Entwurf gespeichert, solange kein Admin den direkten Versand freischaltet. Text vom Meldenden ist als nicht vertrauenswürdig markiert.
Was Kit nicht hat
Prüfen Sie diese Grenzen, bevor Sie sich für Kit entscheiden.
Offenlegungsfristen
Open Bug Bounty erlaubt die Offenlegung 90 Tage nach der Einreichung oder 30 Tage nach der Behebung. Kit kennt weder Offenlegungsfristen noch Sperrdaten.
Kommt das noch? Ein Sperrdatum kommt möglicherweise. Heute verfolgt Kit Bestätigungsfristen.
Unabhängige Nachprüfung
Open Bug Bounty reproduziert unterstützte Meldungstypen, bevor es den Betreiber benachrichtigt. Laut FAQ dauert das bis zu fünf Tage bei XSS und bis zu zehn bei fehlerhafter Zugriffskontrolle. Bei Kit reproduzieren Ihre Entwickler selbst.
Kommt das noch? Nein. Eine Prüfung von Meldungen als Dienstleistung wird es in Kit nicht geben.
Ein öffentliches Offenlegungsarchiv
Öffentliche Einreichungen bekommen bei Open Bug Bounty eine Seite mit Zeitstempel. Die optionale Hall of Fame in Kit gehört zu Ihrem Programm und setzt die Zustimmung des Forschers voraus.
Kommt das noch? Ein eigenes öffentliches Offenlegungsarchiv ist nicht geplant.
Eine Forscher-Community
Die Forscher von Open Bug Bounty melden Probleme, die sie im Web finden. Kit empfängt Meldungen über die Kanäle, die Sie veröffentlichen, und wirbt keine Forscher an.
Kommt das noch? Nein. Open Bug Bounty können Sie parallel zu Kit weiter nutzen.
So arbeiten beide
Open Bug Bounty kann eine Meldung finden und nachprüfen. Kit organisiert die Reaktion Ihres Teams.
Die Aufzeichnung Ihrer Reaktion
Jedes Teammitglied für €6,99 enthält den Security-Workflow: Eingang, Sichtung, SLAs, Prämienaufzeichnungen und Exporte. Ihr Team prüft die Funde und wickelt etwaige Auszahlungen ab.
Nachprüfung und Offenlegung
Open Bug Bounty ist eine gemeinnützige Organisation, die unterstützte Meldungen nachprüft und die Betreiber benachrichtigt. Danach sprechen Forscher und Betreiber direkt miteinander. Prämienzahlungen wickelt Open Bug Bounty nicht ab.
Tarife und Kosten
Kit
€6,99 pro Teammitglied und Monat
Security-Workflow im Kit-Abo für €6,99 pro Teammitglied und Monat enthalten
- 72-Stunden-Bestätigungsfrist mit Warnungen bei Gefährdung und Überschreitung
- Unveränderliches Prämien-Hauptbuch und Exporte für Ihr eigenes SOC 2-Audit
- security.txt, Portal im eigenen Branding und einbettbares Formular auf Ihrer Domain
- Anonyme Einreichungen mit Ratenbegrenzung und Spam-Prüfung
- Sichtungs-Schaltflächen in Slack, Bereitschaftsrotation, Abgleich mit Jira und Linear
Open Bug Bounty
Kostenlos
Prämien vereinbaren und zahlen Betreiber und Forscher direkt untereinander
- Melden und gehostete Programme sind kostenlos
- Unterstützte Meldungstypen werden vor der Benachrichtigung nachgeprüft
- Offenlegung erlaubt 90 Tage nach der Einreichung oder 30 Tage nach der Behebung
- Meldungen zu SQL-Injection und RCE laufen per E-Mail
Tarife und Kosten
Kit nennt seinen Preis von €6,99 pro Teammitglied und Monat öffentlich, der Security-Workflow ist enthalten. Sichtung und etwaige Prämienzahlungen übernimmt Ihr Team.
Kit parallel zu Open Bug Bounty nutzen?
Kit lohnt sich für:
- Eine zuständige Person und eine Antwortfrist für jede Meldung
- Nachweise für Ihren Offenlegungsprozess
- Einen Eingang für Meldungstypen außerhalb des Rahmens von Open Bug Bounty
- Kennzahlen zu Reaktions- und Lösungszeiten
- Bereitschafts-Routing und Sichtung in Slack
Bleiben Sie bei Open Bug Bounty, wenn:
- Sie eine kostenlose Nachprüfung unterstützter Meldungstypen brauchen
- Sie die Nacharbeit direkt mit den Forschern klären
- Sie mit dessen Fristen für Nachprüfung und Offenlegung leben können
- Sie Ihre beanspruchte Domain und Ihren öffentlichen Auftritt behalten wollen
Datenportabilität: Open Bug Bounty löscht offengelegte Einreichungen nicht. In Kit beginnt die Aufzeichnung mit den eingehenden Meldungen.
Sicherheitsmeldungen mit Kit bearbeiten.
Der Security-Workflow ist im Preis jedes Teammitglieds enthalten.
$8€6,9929,99 zł£5.99 pro Teammitglied und Monat
Kostenlos starten