Kit vs Bugcrowd: Una comunidad reclutada, o la prueba de que atendiste lo que llegó.
Bugcrowd recluta investigadores hacia tu alcance y, por encima de su nivel gratuito, pone personal propio a validar cada informe antes de que lo vean tus ingenieros. Kit no aporta investigadores ni servicio de triaje. Recibe lo que traigan un security.txt y un formulario de recepción, y guarda el registro que un auditor pide ver.
¿Quién debería elegir qué?
Elige Kit si:
- Respondes a un auditor que pidió pruebas de un proceso de divulgación, y no tienes presupuesto de AppSec
- Gestionas los informes que llegan solos — security.txt, escáneres, gente que aparece sin avisar
- Lees tu propia entrada y la quieres premarcada por el cribado de basura y la detección de duplicados
- Pones un precio mensual publicado en una partida de GRC sin llamada de ventas
- Quieres estar en marcha antes del viernes — el formulario de recepción embebible entra en tu propia web el primer día
Elige Bugcrowd si:
- Intentas encontrar vulnerabilidades — una comunidad reclutada es justo de lo que se trata, y Kit es la categoría equivocada para eso
- Quieres que los informes se validen y prioricen antes de que los vean tus ingenieros
- Estandarizas la severidad sobre la base de clase a prioridad de la VRT, con correspondencias CWE y CVSS v4
- Programas contra tu cola de informes a través de una API REST
- Esperas más entrada de 25 informes al mes en un nivel gratuito
- Te parece bien un contrato de 12 meses y una renovación sin publicar
Lo que hace especial a Bugcrowd
Bugcrowd es conocido por tres cosas: una comunidad reclutada con triaje humano, la VRT y un nivel gratuito sin tope.
Una comunidad, y después un filtro humano
Bugcrowd recluta investigadores y los dirige hacia tu alcance. Desde VDP Basic hacia arriba, su personal valida y prioriza cada informe primero — los niveles se venden como unidades de ese trabajo, «Managed Triage for First 15 or 75 Submissions». Fully Managed añade Researcher Relations y una ficha en el directorio público que Bugcrowd promociona como «18 veces más envíos de media».
Por qué esto importa: Lo que llega a tus ingenieros ya ha sobrevivido a una lectura humana. El cribado de basura generada por IA de Kit reduce el montón; no sustituye al lector.
La Vulnerability Rating Taxonomy
Las clases de vulnerabilidad con nombre se asignan de P1 a P5, así que dos personas de triaje que puntúan una toma de subdominio coinciden sin volver a discutir vectores CVSS. Apache-2.0 en GitHub, con correspondencias legibles por máquina para CVSS v3, CVSS v4 y CWE, mantenidas por un VRT Council interno que se reúne cada semana — la v1.19.1 salió en julio de 2026.
Por qué esto importa: Kit tiene una calculadora CVSS v3.1 y ninguna respuesta a esto. En Kit la severidad es el criterio de cada analista, defendido con un vector.
Recepción gratuita sin tope y una API REST de verdad
VDP Compliance acepta envíos ilimitados sin coste, autogestionados. La API documentada en api.bugcrowd.com trae autenticación por token, acceso por rol, lista opcional de IP permitidas y un límite de 60 peticiones por minuto y por IP.
Por qué esto importa: Dos puntos en los que Bugcrowd es claramente mejor que Kit: el volumen del nivel gratuito y una cola que tus scripts pueden leer.
Lo que Kit hace bien
Cuatro cosas que Kit hace bien, empezando por el investigador que no tiene cuenta.
Un precio en la página de precios
El complemento VDP de Kit tiene un precio mensual publicado, 30 días de prueba y ningún compromiso anual. Las cifras Basic de Bugcrowd son tarifas de primer año para clientes nuevos que pagan por adelantado, y el precio de renovación no aparece en ninguna de las páginas que llevan el precio.
Una partida de GRC que puedes aprobar sin llamada de ventas y sin sorpresas en el segundo año.
security.txt publicado sin que hagas nada
Kit publica automáticamente un security.txt conforme con RFC 9116 en /.well-known/security.txt, con un vigilante de caducidad a 14 días que avisa a Slack antes de que el archivo expire.
El archivo que los investigadores miran primero está activo desde el primer día y nunca caduca en silencio.
La capa de pruebas, incluida
Un libro mayor de recompensas de solo adición con comprobación nocturna de integridad, exportaciones de pruebas para SOC 2, sincronización con Vanta, recogida de W-9/W-8BEN y un panel de MTTA/MTTR.
Cuando un auditor pregunta cómo gestionas las divulgaciones, la respuesta es una exportación, no una diapositiva.
Un reloj de acuse de recibo de 72 horas
Cada informe abre una ventana de acuse de recibo de 72 horas — una sola ventana, todas las severidades — con avisos de riesgo en el último cuarto del reloj y una rotación de guardia o un calendario de PagerDuty para atenderlos.
Los avisos de riesgo saltan sin configurar nada; los objetivos de resolución por severidad se miden a posteriori.
Lo que Kit no tiene
Cuatro cosas que Bugcrowd hace y Kit no, y qué pensamos hacer con cada una.
Una comunidad de investigadores y triaje gestionado
Bugcrowd dirige una comunidad de investigadores reclutados hacia tus activos y vende el triaje por unidades — los niveles Basic se llaman literalmente «Managed Triage for First 15 or 75 Submissions». Kit no recluta a nadie ni clasifica nada por ti. El cribado de basura generada por IA y el marcado de duplicados por similitud de embeddings reducen el montón, pero cada informe lo lee una persona de tu equipo, y Kit señala los duplicados sin fusionarlos.
¿Lo añadiremos? No. Es estructural. Si quieres que otro lea los informes, un proveedor gestionado es la respuesta correcta y Kit no lo es.
Recepción gratuita sin tope
El nivel gratuito VDP Compliance de Bugcrowd acepta envíos ilimitados, autogestionados. El nivel gratuito de Kit tiene un tope de 25 informes al mes y va montado sobre un puesto de Kit de pago, no se sostiene solo.
¿Lo añadiremos? Poco probable. El tope es lo que permite que la recepción viaje con un puesto sin coste adicional.
Una API REST
Bugcrowd documenta una API REST en api.bugcrowd.com con autenticación por token, acceso por rol y un límite de 60 peticiones por minuto y por IP. Kit no tiene API REST — solo herramientas MCP y webhooks, que encajan con un flujo de trabajo de agentes de IA y no encajan con un script de Python contra tu cola de informes.
¿Lo añadiremos? Tal vez. MCP y webhooks están disponibles hoy; una superficie REST no está planificada.
La VRT
La Vulnerability Rating Taxonomy de Bugcrowd asigna clases de vulnerabilidad con nombre a P1-P5 y publica correspondencias con CVSS v3, CVSS v4 y CWE en JSON con licencia Apache-2.0; la v1.19.1 salió en julio de 2026. Kit tiene una calculadora CVSS v3.1, una lista fija de 13 clases y ninguna taxonomía CWE ni CVSS v4.
¿Lo añadiremos? Es posible. La VRT es Apache-2.0, así que adoptarla no plantea ningún problema de licencia; no hay nada planificado.
Diferencias de filosofía
Estos productos responden a preguntas distintas.
Demuestra que lo atendiste
Kit da por hecho que los informes ya llegan — por un security.txt, por un escáner, por el correo de un desconocido — y vende el registro de lo que pasó después. Un reloj de acuse de recibo, un libro mayor de solo adición, exportaciones de pruebas a la medida de una auditoría. Un puesto cuesta €6,99; el módulo completo es el complemento de €49. Nadie caza por ti.
Trae investigadores y cobra el triaje por unidades
La premisa de Bugcrowd es que encontrar vulnerabilidades exige investigadores de fuera y que leer sus informes exige personal formado, así que vende las dos cosas: una comunidad reclutada y apuntada a tu alcance, y un triaje medido en unidades de 15 o 75 envíos. Si tu pregunta es quién va a encontrar nuestros fallos, esa premisa acierta.
La realidad de los precios
Kit
€6,99/puesto/mes + €49/mes de complemento VDP
€49/mes además de un puesto de €6,99, cancela cuando quieras
- Recepción, portal y comprobantes incluidos con un puesto de Kit, con un tope de 25 informes al mes
- Tablero de triaje, reloj de acuse de recibo de 72 horas, libro mayor, matriz de recompensas y exportaciones de pruebas para SOC 2 en el complemento
- 30 días de prueba del complemento; la facturación solo empieza si te lo quedas
- Cancela cada mes; sin contrato de 12 meses
- Recogida de W-9/W-8BEN y contabilidad de recompensas en 7 divisas
Bugcrowd
Nivel gratuito autogestionado; $299-999/mes en Basic, solo el primer año
Los precios Basic son solo de primer año, pagados por adelantado y solo para clientes de VDP nuevos
- VDP Compliance: gratis, autogestionado, envíos ilimitados, sin triaje gestionado
- VDP Basic 15: $299/mes el primer año — $3.588 como contrato de 12 meses en AWS Marketplace
- VDP Basic 75: $999/mes el primer año — $11.988 por 12 meses en AWS
- Fully Managed: «Custom», y el botón es Contact Us
- El precio de renovación no está ni en la página de niveles, ni en la de presupuesto, ni en la ficha de AWS
La realidad de los precios
Bugcrowd publica precios reales, algo raro en esta categoría — pero las cifras Basic son tarifas de primer año para clientes nuevos que pagan por adelantado, AWS lista ambos niveles como contratos de 12 meses y la renovación no está publicada en ninguna de las páginas que llevan el precio. Los datos de compradores de Vendr sitúan la tarifa del VDP de Bugcrowd entre $15.000 y $40.000 al año, una estimación sacada de contratos reales y no de un precio de lista. El complemento de Kit cuesta €49 al mes además de un puesto de €6,99, y se cancela cada mes.
¿Vienes desde Bugcrowd?
Te encantará Kit si:
- Ya autogestionas todos los informes en el VDP Compliance gratuito y el auditor quiere algo más que un panel
- Quieres el precio del segundo año por escrito antes de firmar el primero
- Un auditor te pidió pruebas de tu proceso de divulgación para el viernes
- Preguntaste qué pasa después del envío 15 de triaje y la página de precios no lo dice
- Tu triaje ocurre en Slack — tarjetas de informe, botones de apelación, avisos a la guardia
Quédate con Bugcrowd si:
- El triaje gestionado absorbe un volumen que tu equipo no puede leer
- Te importan la reputación de tu programa entre los investigadores y su ficha en el directorio público — ninguna de las dos se mueve contigo
- Programas contra la API REST
- Estás dentro de un contrato Basic de 12 meses
Portabilidad de datos: La API REST de Bugcrowd llega a tus informes de forma programática; la exportación masiva no aparece en su página de introducción a la API. El registro de Kit empieza con el siguiente informe que llegue.
Un programa de divulgación en marcha antes del viernes.
La prueba del complemento dura 30 días y no se cobra nada salvo que decidas quedártelo. En ningún caso te llamará nadie de ventas.
$49€49159 zł£39 al mes, además de un puesto de Kit
Probar gratis