Kit vs Jira Service Management: La cola, o el programa que los investigadores pueden encontrar.
Con tres agentes, Jira Service Management sale más barato que Kit, y su motor de SLA es mejor. Lo que no puede aceptar es un informe de quien se niega a iniciar sesión — Atlassian exige un correo, crea una cuenta a quien informa y le obliga a poner una contraseña para ver su propio informe. Kit acepta ese informe de forma anónima, y no te trae ningún investigador que lo envíe.
¿Quién debería elegir qué?
Elige Kit si:
- Respondes a un auditor para el viernes y sin presupuesto de AppSec
- Aceptas informes de investigadores que no van a crearse una cuenta de Atlassian
- Publicas política, puerto seguro y security.txt sin tener que escribirlos antes
- Pagas recompensas contra un libro mayor, con los W-8BEN archivados
- Te parece bien que los informes sigan entrando en Jira por la sincronización de Kit
Elige Jira Service Management si:
- Ya estás en Jira, con un administrador capaz de construir los flujos de trabajo
- Impones objetivos de respuesta por severidad en vivo, con condiciones de pausa
- Mantienes la vulnerabilidad y su corrección en una sola instancia
- Llevas tres personas de triaje por $750 al año, o con los $0 del plan Free
- Mueves los informes por la API REST v3 de Jira Cloud
- Estás dispuesto a escribir la política, el texto del portal y el security.txt por tu cuenta
Lo que hace especial a Jira Service Management
JSM le gana a Kit en tres ejes: el motor de SLA, el modelo de coste y la distancia entre el informe y la corrección.
Relojes de SLA con condiciones de pausa
Defines una métrica, le asocias hasta 90 objetivos con metas por prioridad y le das a cada objetivo su propio calendario laboral. Los relojes arrancan, se pausan y se detienen en las transiciones de flujo, así que un informe que espera una aclaración del investigador deja de quemar reloj.
Por qué esto importa: El incumplimiento se ve en la herramienta, por severidad y en vivo. El único reloj en vivo de Kit es la ventana de acuse de recibo de 72 horas.
Quien solicita es gratis e ilimitado
Solo se licencian los agentes; cualquiera puede abrir una solicitud sin licencia. Tres personas de triaje cuestan $750 al año en Standard anual, o nada en los tres puestos del plan Free.
Por qué esto importa: Un canal de recepción abierto tiene una multitud impredecible al otro lado, y el modelo de coste de JSM ya lo contempla.
El informe ya es una incidencia de Jira
El informe llega como una incidencia de Jira en la misma instancia que el backlog. Lo enlazas, lo clonas al proyecto de producto y el ingeniero no sale nunca de la herramienta — sin webhook al que vigilar, sin correspondencia de campos que se desalinee.
Por qué esto importa: Un informe de vulnerabilidad no importa hasta que se convierte en un ticket de ingeniería, y aquí nace siendo uno.
Lo que Kit hace bien
Cuatro cosas que Kit trae ya escritas, empezando por la persona que no tiene inicio de sesión.
Un informe sin ninguna cuenta detrás
El formulario de recepción de Kit acepta un informe con el campo de correo en blanco. La propia documentación de Atlassian dice que quien informa desde el portal debe escribir una dirección de correo, se le crea una cuenta y tiene que poner una contraseña e iniciar sesión para ver su propia solicitud.
Quien encontró tu fallo decide si llegas a saber su nombre.
security.txt y Safe Harbor vienen escritos
Kit publica automáticamente un security.txt conforme con RFC 9116 en /.well-known/security.txt con un vigilante de caducidad a 14 días, y trae un texto de puerto seguro (Safe Harbor) por defecto que el administrador puede sustituir. Un centro de ayuda de JSM vive en un subdominio de dos niveles controlado por Atlassian, así que el archivo del apex — y la política que hay detrás — te toca construirlos a ti.
El archivo que los investigadores miran primero existe antes del primer informe de tu programa, y nunca caduca en silencio.
Un registro de acuses de recibo que un auditor puede leer
Cada informe lleva un reloj de acuse de recibo de 72 horas, y MTTA y MTTR aterrizan en un panel sin configurar nada. JSM tiene mejores relojes pero ningún paquete de pruebas — la carpeta del auditor se monta a mano desde exportaciones en bruto, ciclo tras ciclo.
El paquete de pruebas es una exportación, no una carpeta que montas tú — y el registro tiene que existir antes de poder enseñarlo.
Una bandeja abierta que criba su propio ruido
Turnstile, un honeypot, un límite de 10 informes por hora, cribado de basura generada por IA con veredicto de pasa/revisar/marcado y detección de duplicados por embeddings. JSM ofrece una lista de direcciones bloqueadas y un tope global de bucles de correo — la respuesta que dio Atlassian en 2021 a un hilo sobre spam, sin ningún límite por dominio desde entonces.
Un canal público de recepción es ruido en su mayor parte, y lo que se cuela lo lee alguien de tu equipo.
Lo que Kit no tiene
Cuatro cosas que Jira Service Management hace y Kit no, y qué pensamos hacer con cada una.
Un motor de SLA por severidad en vivo
JSM asocia a cada métrica de SLA varios objetivos condicionados por JQL — metas por prioridad, calendarios laborales, hasta 90 objetivos — y los relojes se pausan en las transiciones de flujo. Kit lleva un único reloj en vivo, una ventana de acuse de recibo de 72 horas para todas las severidades; los objetivos de resolución por severidad se miden a posteriori, nunca se imponen.
¿Lo añadiremos? Parcialmente. Ventanas de acuse de recibo por severidad es una petición razonable. Un motor de objetivos JQL con condiciones de pausa y calendarios no está en la hoja de ruta.
La factura más baja con tres agentes
Tres agentes en JSM Standard anual cuestan $750 al año, o $0 en el plan Free, y quien solicita no consume nunca una licencia. Kit cobra por puesto más un complemento VDP facturado aparte.
¿Lo añadiremos? No. El complemento compra la mitad orientada al investigador — política, portal, security.txt, libro mayor — que un proyecto de JSM te deja construir y mantener a ti.
El informe y la corrección en un solo sistema
En JSM el informe ya es una incidencia de Jira al lado del backlog de ingeniería — nada que sincronizar, nada que se desalinee. La sincronización de Kit con Jira y Linear es bidireccional y con correspondencias validadas de severidad a prioridad, pero una sincronización sigue siendo un segundo sistema con una segunda superficie de administración.
¿Lo añadiremos? No. Kit sigue siendo una superficie aparte; la sincronización con Jira es el puente, y puente se queda.
Una API REST
JSM se apoya en la API REST v3 de Jira Cloud — incidencias, comentarios, adjuntos, flujos de trabajo. Kit expone 52 herramientas MCP y 11 eventos de webhook, y ninguna API REST.
¿Lo añadiremos? No a corto plazo. MCP y webhooks son la superficie de integración de Kit; una API REST documentada no está en la hoja de ruta cercana.
Diferencias de filosofía
¿Intentas encontrar vulnerabilidades o demostrar que atiendes las que llegan? Ninguno de los dos productos aporta investigadores. Si la respuesta es encontrar, la categoría que buscas es un proveedor gestionado de recompensas por fallos.
El programa es el producto
Kit entrega como producto la mitad orientada al investigador — el portal, la política, el security.txt, el libro mayor. Un precio publicado de €49/mes sobre la suscripción de €6,99/puesto/mes, sin compromiso anual, con 30 días de prueba en autoservicio y el registro de acuses de recibo incluido. Lo que configuras en una tarde es justo lo que pidió el auditor.
La cola es el producto
El comprador es un responsable de IT que consolida en Atlassian, y el VDP es una plantilla de proyecto dentro de esa decisión. La cola, los flujos de trabajo y el motor de SLA son ciudadanos de primera. Todo lo que toca un investigador o un auditor — la política, el puerto seguro, el security.txt, la URL del portal, las pruebas — lo construyes y lo mantienes tú.
La realidad de los precios
Kit
€6,99/puesto/mes + €49/mes de complemento VDP
Un puesto incluye el VDP hasta 25 informes al mes; el complemento de €49 trae el tablero de triaje, el reloj de acuse de recibo, el libro mayor, las recompensas, las exportaciones SOC 2 y el dominio personalizado.
- Recepción anónima con Turnstile y cribado de basura generada por IA
- security.txt publicado automáticamente, con la caducidad vigilada
- Reloj de acuse de recibo de 72 horas, panel de MTTA/MTTR
- Libro mayor de recompensas de solo adición, recogida de W-9/W-8BEN
- Sincronización bidireccional con Jira y Linear
Jira Service Management
$0 en Free con 3 agentes, o $750/año en Standard anual (1-3 agentes)
Precios de lista del proveedor en agosto de 2026, con la subida de octubre de 2025 incluida. El Standard mensual cuesta $25/agente para los primeros 15 agentes — la cifra de $20 que repiten los blogs de terceros es el valor por defecto de 75 agentes de la calculadora. Atlassian vende ahora JSM dentro de la Service Collection; estos son los precios de lista de la Collection.
- Gratis para siempre con 3 agentes y 2 GB de almacenamiento
- Solicitantes ilimitados y sin licencia
- Objetivos de SLA por severidad, condiciones de pausa y calendarios laborales
- Informe y backlog en una sola instancia de Jira
- El centro de ayuda con tu marca empieza en Standard
La realidad de los precios
Un puesto de €6,99 más el complemento de €49 cuesta más que JSM a este tamaño — $750 al año por tres agentes en Standard anual, o $0 en Free, y los investigadores no consumen licencia nunca. La diferencia compra lo que un proyecto de JSM te deja escribir a ti: la política, el puerto seguro, el security.txt, el libro mayor, el registro de pruebas. Una trampa según subes: las funciones de plan de JSM son de instancia, así que un solo flujo de trabajo Premium sube a todos los agentes de $25,00 a $57,30 al mes.
¿Vienes desde Jira Service Management?
Te encantará Kit si:
- Un investigador pidió informar sin crearse una cuenta de Atlassian
- Tu security.txt necesita publicarse en /.well-known/ y renovarse antes de caducar
- La política de puerto seguro sigue siendo un artículo en blanco de la base de conocimiento
- Pagas recompensas y quieres una línea de libro mayor y un W-8BEN archivado, no una hoja de cálculo
- Los informes deberían seguir cayendo en Jira — la sincronización de Kit es bidireccional
Quédate con Jira Service Management si:
- Tu auditor solo pide que los informes lleguen a algún sitio y se trabajen
- Los relojes de SLA por severidad con condiciones de pausa sostienen tu argumento de cumplimiento
- El informe y la corrección deberían compartir una sola instancia de Jira
- Tres agentes por $750 al año en Standard anual, o $0 en Free
Portabilidad de datos: Jira exporta limpiamente — copias del sitio con adjuntos, CSV y XML — y la sincronización de Kit con Jira funciona en ambos sentidos. Lo que se queda atrás es la configuración que montaste alrededor de los tickets.
Prueba Kit gratis durante 30 días.
Autoservicio, sin compromiso anual, cancela cuando quieras durante los primeros 30 días. En ningún caso te llamará nadie de ventas.
$49€49159 zł£39 al mes, además de un puesto de Kit
Probar gratis