Rekrutacja i zgłaszanie podatności w startupach z YC: sprawdziliśmy 80 firm

Wśród 80 najnowszych firm z Launch YC znaleźliśmy 20 stron z ofertami pracy pod sprawdzanymi ścieżkami i 9 plików security.txt z kontaktem. Przegląd przeprowadziliśmy 13 sierpnia 2026. Nie obejmował wszystkich możliwych adresów ani wewnętrznych procesów firm.

Przed Demo Day albo wpisem na Launch YC startup potrzebuje dwóch kanałów kontaktu, z jasno przypisaną obsługą: publicznej strony z ofertami pracy, za którą stoi prawdziwy proces rekrutacji, oraz oficjalnego kanału zgłaszania podatności, z plikiem security.txt, opisanym zakresem i zadeklarowanym czasem na potwierdzenie odbioru. W małym zespole te zadania łatwo odłożyć, jeśli nikt za nie nie odpowiada.

Demo Day może zainteresować także kandydatów i badaczy

Publiczna prezentacja firmy może zwiększyć ruch na stronie. Poza inwestorami zaglądają tam kandydaci i badacze, a automatyczne skanery działają niezależnie od kalendarza prezentacji. Kalendarz programów, do których założyciele faktycznie trafiają, 13 sierpnia 2026 wyglądał tak:

Przed takim wydarzeniem warto sprawdzić, gdzie trafią pytania o pracę i zgłoszenia bezpieczeństwa.

Launch YC pokazuje to najwyraźniej, bo nie jest jednym popołudniem, tylko stale otwartą stroną. YC udostępnił ją wszystkim 29 czerwca 2022, przenosząc wewnętrzną funkcję z Bookface na ycombinator.com. Założyciele publikują, kiedy chcą, o dowolnej porze; odwiedzający sortują wpisy po branży, kohorcie i dacie premiery, a głosami wypychają firmy w górę rankingu.

W tekście TechCruncha Lindsay Amos z YC opisała publiczność jako założycieli, programistów, inwestorów i osoby szukające pracy. Ruch od kandydatów jest tu założeniem projektowym strony. Do 13 sierpnia 2026 przewinęło się przez nią 3189 premier, w tym ponad 160 z samej kohorty Summer 2026, w miesiącu poprzedzającym Demo Day 10 września.

Co naprawdę przychodzi w dniu premiery i jak szybko

Po premierze może pojawić się krótkotrwały wzrost zainteresowania. Niezależnie od niego trwa automatyczne skanowanie strony. Analiza 41 301 wpisów Show HN i blisko 100 000 znaczników czasu komentarzy z okresu od czerwca 2025 do czerwca 2026 dała medianę okresu półtrwania uwagi na poziomie 7,2 godziny: 90% wszystkich komentarzy pod wpisem pojawia się do 26. godziny, a po 48 godzinach dochodzi już tylko 4,2%. Ta sama analiza przynosi otrzeźwiający punkt wyjścia: mediana premiery to 2 punkty i zero komentarzy, a 61,7% wpisów nie doczekało się żadnego.

Kiedy premiera jednak chwyci, liczby rosną błyskawicznie. Grudniowy debiut Robinhooda na Hacker News w 2013 roku (wpis dodał ktoś z zewnątrz, nie założyciele) przyniósł 10 000 rejestracji pierwszego dnia i ponad 50 000 w pierwszym tygodniu, jak podaje Kat Mañalac w wykładzie z YC Startup Library. PostHog, wtedy trzyosobowy zespół z kohorty YC W20, podał „grubo ponad 200 rejestracji” i ponad 800 gwiazdek na GitHubie w ciągu pięciu dni od własnego debiutu na HN.

Dane Ashby z blisko 13 mln kandydatur pokazują z kolei, że w pierwszym tygodniu napływa 2,5–3 razy więcej kandydatur niż w każdym kolejnym. Przygotuj obsługę zgłoszeń przed publikacją ogłoszenia.

O drugiej połowie mówi się rzadziej. Zespół Satori z HUMAN Security udokumentował, że napastnicy śledzą logi przejrzystości certyfikatów, na przykład CertStream, które publicznie odnotowują każdy nowo wydany certyfikat TLS. Świeży certyfikat sam w sobie jest informacją: pojawiło się coś nowego do przeskanowania. W honeypotach HUMAN skanery odpowiadały średnio za 69,5% ruchu botów, a w niektóre dni przekraczały 90%. Około jedna trzecia prób celowała w pliki .env, kolejna trzecia w dane repozytoriów Git.

Tymczasem Hacker News radzi założycielom przy Launch HN, żeby produkt dało się swobodnie poklikać: „Usuń bariery przy rejestracji, przynajmniej na dzień premiery, dostaniesz więcej i lepszych uwag”. To dobra rada przed startem. Uproszczenie wypróbowania produktu nie powinno oznaczać usunięcia kontroli dostępu ani udostępnienia danych klientów.

Jak sprawdziliśmy 80 firm z Launch YC

13 sierpnia 2026 wzięliśmy 80 najnowszych firm z Launch YC (premiery od 31 lipca do 13 sierpnia 2026, 80 unikalnych domen) i sprawdziliśmy dwie rzeczy: czy mają stronę z ofertami pracy pod oczywistym adresem i czy mają działający kontakt do zgłaszania podatności.

Praca: 20 z 80 (25%) zwróciło HTTP 200 pod /careers albo /jobs. Powtórka z user agentem przeglądarki dała 19 z 80; cała różnica to jeden timeout. Odpowiedź 404 pod /careers nie dowodzi, że firma nie ma strony z ofertami. Część z pozostałych 60 może publikować ogłoszenia na zewnętrznym portalu albo pod ścieżką, której nie zgadliśmy. Wynik brzmi: brak strony z ofertami pod oczywistym adresem. Nie badaliśmy wszystkich sposobów znalezienia ogłoszeń.

Zgłaszanie podatności: 9 z 80 (11%) zwracało plik security.txt z HTTP 200 i linią Contact: pod /.well-known/security.txt albo /security.txt. W 71 firmach z 80 nie znaleźliśmy go pod sprawdzanymi adresami. Samo HTTP 200 i pole Contact nie potwierdzają pełnej zgodności z RFC 9116, które wymaga także pola Expires. Ciekawsza jest jednak ta dziewiątka, bo 6 z 9 kieruje do skrzynki założyciela, a nie pod dedykowany adres. Trzy firmy opublikowały alias security@. W dwóch przypadkach na trzy plik wskazywał więc adres osoby łączącej obsługę zgłoszeń z prowadzeniem firmy.

Adres założyciela może więc przyjmować różne rodzaje kontaktu. Sam adres nie mówi jednak, czy firma używa filtrów, przekierowań lub wewnętrznej kolejki. Obraz jest wyraźny, bo potwierdzają go same wpisy premierowe: 55 z 80 (69%) podaje przynajmniej jeden adres e-mail, mniej więcej po połowie imienne adresy założycieli i ogólne aliasy. Sygnał rekrutacyjny dało się wyłowić w jednym, może dwóch wpisach z osiemdziesięciu, a o bezpieczeństwie lub zgłaszaniu podatności wspomniał dokładnie jeden, w dodatku w opisie produktu, nie jako kanał kontaktu.

Decawork pokazuje to lepiej niż jakikolwiek wskaźnik zbiorczy. Firma zadebiutowała 12 sierpnia 2026 ze 135 głosami i sprzedaje „warstwę sterowania agentami dla działów IT”: tożsamość, ograniczone poświadczenia i akceptację IT dla agentów AI. Linia Contact w jej security.txt to alias założycieli. Strona w katalogu YC odsyła do premiery i pokazuje zakładkę Jobs z zerem. Firma z pogranicza bezpieczeństwa, kontakt prosto do skrzynki założyciela, żadnej strony z ofertami. Z publicznych stron nie można ustalić, jak ten czteroosobowy zespół organizuje obsługę skrzynki ani czy planuje rekrutację.

Skala zainteresowania premierami jest nierówna. Wśród 1000 najnowszych premier (przedział 11 miesięcy, bo indeks ogranicza pobieranie) mediana wyniosła 19 głosów, średnia 59,7, maksimum 3085, a 23,6% zebrało mniej niż 10 głosów. Dla większości firm sam Launch YC przechodzi bez większego echa. Problem w tym, że z góry nie wiesz, jaka premiera cię czeka, a kanał kontaktu musi istnieć, zanim się o tym przekonasz.

Strumień pierwszy: 298 kandydatur, 15 rozmów i 21 godzin, których nie masz

Napływ kandydatur w maleńkiej firmie jest większy, niż spodziewają się założyciele, i spada na mniej osób niż przy jakiejkolwiek innej skali zatrudnienia. Raport Ashby o rekrutacji w startupach z 2026 roku, oparty na ponad 1200 spółkach z finansowaniem VC, 32 000 zatrudnień i 11 mln kandydatur, podaje 298 napływających kandydatur na jedno zatrudnienie w startupach poniżej 25 osób. Na każde zatrudnienie 15 kandydatów dostaje rozmowę, czyli ok. 95% napływu odpada w przeglądzie wstępnym, zanim ktokolwiek z kimkolwiek porozmawia. Zatrudnienie osoby technicznej pochłania około 21 godzin pracy osób prowadzących rozmowy, osób, które równolegle pracują nad produktem.

Najbardziej niedoszacowany jest czas. W startupach poniżej 25 osób rekrutacja trwa 42 dni z udziałem rekrutera i 62 dni bez niego, a przy tej skali rekruter uczestniczy tylko w 38% procesów. Czteroosobowy zespół bez rekrutera należy do drugiej grupy, ale 62 dni nie jest prognozą dla konkretnej firmy. Z narzędziami jest tak samo: 43% startupów poniżej 25 osób korzysta z AI na jakimkolwiek etapie rekrutacji, a wraz ze wzrostem liczby etatów do przedziału 100–300 odsetek rośnie do 57%, 66% i 77%. Dane pokazują częstsze użycie narzędzi w większych firmach, nie różnicę w skali potrzeb.

PostHog opisał, jak to wygląda od środka. Przy jednej rekrutacji marketingowej odnotowali 300 kandydatur w pierwsze dwa dni, rekord dobowy 900, a przez 12 miesięcy ponad 9000 kandydatur, średnio 460 na jedno ogłoszenie. Ich wewnętrzny rekruter poświęcał każdemu mniej niż minutę. Z tych pierwszych 300 rozmowę dostało 12 osób, czyli 4%. PostHog miał wtedy około 42 pracowników, nie czterech. Mniejszy zespół musi uwzględnić te czynności w czasie pracy osób odpowiedzialnych za produkt.

Wiele zespołów korzysta z arkuszy. Poniższe dane pokazują częstość ich użycia, nie dowodzą ich nieskuteczności. Recruiter Nation Report 2025 firmy Employ (Zogby Analytics, wrzesień 2025, ponad 1200 rekruterów i osób prowadzących rekrutacje w USA) pokazał, że 79% zespołów rekrutacyjnych wciąż prowadzi statystyki w arkuszach, a 40% firm poniżej 50 osób pracuje na narzędziach nieprzeznaczonych do tego celu wobec 18% w firmach od 100 do 5000 osób.

Kogo w ogóle zatrudnić najpierw: plan pierwszych pięciu rekrutacji. Co 298 kandydatur robi z procesem oceny: kryzys triażu.

Strumień drugi: badacz, który nie może cię znaleźć, i beg bounty, który już cię znalazł

Publikacja adresu do zgłaszania podatności ściąga śmieciowe zgłoszenia. Warto powiedzieć to wprost, bo to najmocniejszy argument za zbudowaniem kanału zamiast wystawienia skrzynki.

Wpis Troya Hunta „Beg Bounties” (listopad 2021) dokumentuje szablonowe maile przychodzące na adres opublikowany w jego własnym security.txt, zgłaszające rekordy DMARC i brakujące nagłówki CSP, czyli to, co Sophos określił jako „łatwe do wykrycia, publicznie widoczne ustawienia o drobnym znaczeniu”. Hunt nazywa barierę wprost: „gdy tylko zostaną opublikowane kontakty do zgłaszania podatności, organizacje muszą radzić sobie ze śmieciowymi zgłoszeniami”.

Wątek na Hacker News pod tym wpisem oddaje to lepiej niż jakakolwiek statystyka. Komentujący danielvf: „Mamy nagrodę do 250 000 $ za zgłoszenie krytycznej podatności w części naszego kodu i całą stronę o zgłaszaniu problemów. Nigdy nie dostaliśmy poważnego zgłoszenia, ale co tydzień przychodzi jedno albo dwa o SPF/DKIM/nagłówkach/SSL”. Inny, tgsovlerkhgsel, ujął prawdziwy koszt jednym zdaniem: „Przez łowców beg bounty zgłoszenie prawdziwego problemu bezpieczeństwa staje się drogą przez mękę”. Intigriti podaje, że ulubionym celem są małe i średnie firmy bez formalnego programu ujawniania podatności (VDP), i opisuje wariant z 2025 roku, w którym nadawca sam preparuje znalezisko: wrzuca skan paszportu do helpdesku bez uwierzytelnienia, wysyła powstały adres załącznika do VirusTotal, a potem zgłasza to jako wyciek danych i prosi o pieniądze.

Brak kanału utrudnia z kolei zgłoszenie prawdziwej podatności. BOD 20-01 amerykańskiej CISA opisuje ten scenariusz słowami samej administracji: „Jeżeli zgłaszający nie dostanie odpowiedzi od agencji albo uzna odpowiedź za nieprzydatną, może założyć, że agencja nie naprawi podatności. To może go skłonić do nieskoordynowanego ujawnienia publicznego, żeby wymusić poprawkę i ochronić użytkowników”.

Opublikowany kanał zgłaszania nadal nie jest powszechny. Analiza 241 mln domen przeprowadzona przez IoT Defense znalazła w 2026 roku poprawny security.txt na około 0,238% z nich. W badaniu IoT Security Foundation ze stycznia 2026 spośród 68 producentów dodanych w 2025 roku 52 (76,47%) nie miało żadnej ścieżki zgłaszania. Niezmiennie najgorzej wypadają pod tym względem firmy nowe, co warto uwzględnić przy planowaniu własnego programu.

Adres security@ to jeszcze nie kanał zgłoszeń

Najmocniejszy kontrprzykład to nie firma bez kanału, tylko firma, która miała dobry. Mindgard zgłosił firmie Cursor lukę pozwalającą na zdalne wykonanie kodu (dowolny kod uruchamiany przez podłożony git.exe w katalogu głównym repozytorium, bez żadnej interakcji użytkownika) na adres [email protected] 15 grudnia 2025. 15 stycznia 2026 CISO Cursora przyznał, że „zawiodła automatyzacja, która miała wysłać zaproszenie do prywatnego programu bug bounty na HackerOne”. Pytania o status z 16 lutego, 3 marca, 17 marca i 1 kwietnia pozostały bez odpowiedzi. Mindgard zapowiedział ujawnienie 1 czerwca i opublikował pełne szczegóły 14 lipca 2026, siedem miesięcy po pierwszym kontakcie.

Kanał istniał, adres był poprawny. Zawiodło przyjęcie zgłoszenia i konsekwentne prowadzenie sprawy. Dobrze dofinansowana firma i tak dostała publiczne ujawnienie. Oprócz adresu ustal termin odpowiedzi i osobę, która dopilnuje dalszej obsługi.

Minimum, które naprawdę się liczy

Przed publikacją przygotuj oba kanały i ich obsługę. BOD 20-01 wiąże amerykańskie agencje federalne, nie twój startup, a unijny Cyber Resilience Act dotyczy produktów z elementami cyfrowymi, nie czystego SaaS-u. Ich zalecenia mogą pomóc przy organizacji programu, po uwzględnieniu właściwego zakresu przepisów.

1. Najpierw kanał, potem polityka. BOD 20-01 traktuje zdolność przyjmowania zgłoszeń jako warunek wstępny: musisz umieć przyjąć niezamówione zgłoszenie, zanim opublikujesz politykę. Sprawdź, czy zgłoszenie rzeczywiście trafia do odpowiedzialnej osoby.
2. Opublikuj security.txt z polami Contact i Expires. To jedyne obowiązkowe pola w RFC 9116. Serwuj plik pod /.well-known/security.txt po HTTPS i wpisz odnowienie do kalendarza: 7,3% plików security.txt znalezionych w 2026 roku było już przeterminowanych.
3. W polu Contact wpisz alias, nie człowieka. Alias ułatwia zmianę osoby obsługującej zgłoszenia bez zmiany publicznego adresu.
4. Obejmij zakresem jeden system, potem poszerzaj. Model z BOD 20-01 dokłada co najmniej jeden kolejny system dostępny z internetu co 90 dni. Zacznij od domeny produktu.
5. Rozdziel czas na potwierdzenie od czasu na rozwiązanie. BOD 20-01 celuje w potwierdzenie w 3 dni robocze i ocenę zasadności w 7, a rozwiązanie ma osobny cel 90 dni. Potwierdzenie odbioru to obietnica, której dotrzymasz nawet w tygodniu premiery.
6. Dopuść zgłoszenia anonimowe i nie żądaj danych osobowych. Modelowa polityka BOD 20-01 stawia oba wymogi bezwzględnie, a brytyjskie przepisy PSTI zawierają tę samą zasadę braku danych osobowych.
7. Dodaj klauzulę safe harbor. Policymaker od disclose.io generuje politykę, warunki safe harbor, plik security.txt i rekordy DNS za darmo na licencji CC0, bez zakładania konta. Generator przygotowuje dokumenty; obsługę zgłoszeń trzeba zorganizować osobno. Nasz przewodnik po safe harbor omawia sformułowania, które mają znaczenie.
8. Opublikuj /careers i postaw za tym proces. Jeden prawdziwy adres, stanowiska z opisanym zakresem i formularz, który zapisuje dane gdzie indziej niż w skrzynce pocztowej. Jeśli wolisz skopiować gotowy proces, niż wymyślać własny, zacznij od szablonu procesu rekrutacji.

Rekrutacja i zgłoszenia bezpieczeństwa w Kit

W obu procesach trzeba przyjąć zgłoszenie, przypisać odpowiedzialną osobę, odpowiedzieć i zapisać decyzję. Kryteria i odbiorcy są jednak różni, dlatego kolejki rekrutacji i bezpieczeństwa wymagają osobnych zasad.

Rynek tak tego nie sprzedaje. Greenhouse nie publikuje cen w ogóle, więc założyciel na etapie pre-seed nie policzy kosztu bez rozmowy z handlowcem. Plan All-In-One Foundations w Ashby zaczyna się od 400 $ miesięcznie, niezależnie od tego, czy zatrudniacie 4 osoby, czy 90. Workable w przedziale 1–20 pracowników kosztuje 299 $ miesięcznie, a SMS-y, rozmowy wideo i testy są płatnymi dodatkami. Darmowy plan Breezy pozwala prowadzić jedną rekrutację naraz.

Własny ATS od YC jest dobry i darmowy, ale tylko dla firm z YC, tylko dopóki twój status w YC jest aktywny, i nie robi nic dla drugiej połowy problemu. Założyciel z Techstars, Antlera, EF czy Speedruna nie ma żadnej z tych połówek. (Więcej o tym, ile mały zespół płaci za dostępy do ATS.)

Argument padł już w samej specyfikacji. RFC 9116 umieszcza opcjonalne pole Hiring w tym samym pliku security.txt co Contact, a sekcja 2.5.6 opisuje je jako „link do ogłoszeń o pracę u dostawcy związanych z bezpieczeństwem”. Jedyny plik, po który sięga badacz, został zaprojektowany tak, żeby mieścił też twoje ogłoszenia o pracę.

Tak właśnie zbudowany jest Kit. Generowany plik security.txt może zawierać Contact, Expires, Policy, Acknowledgments, Hiring, Encryption i Preferred-Languages z jednej konfiguracji, z domyślną ważnością 365 dni i ostrzeżeniem 14 dni przed jej wygaśnięciem. Za polem Contact stoi publiczny portal badacza z konfigurowalnym terminem potwierdzenia odbioru (domyślnie 72 godziny), celami rozwiązania zależnymi od poziomu ważności, ograniczaniem liczby zgłoszeń (rate limiting: domyślnie 5 zgłoszeń na 5 minut, potem tymczasowa blokada) i wstępną oceną AI, która wskazuje do sprawdzenia zmyślone funkcje, sfabrykowane CVE, szablonowy język i mgliste kroki odtworzenia.

Za polem Hiring stoi publiczny portal kariery, dostęp kandydatów przez magic link, szablony procesu w siedmiu kategoriach ról, zadania programistyczne zintegrowane z GitHubem, ocena zespołu z głosowaniem oraz planowanie rozmów. Oba moduły udostępniają narzędzia MCP, więc asystent AI może pracować bezpośrednio na procesie rekrutacji albo na kolejce triażu.

Kit łączy rekrutację, Analizę wynagrodzeń (beta) i pełny proces obsługi zgłoszeń bezpieczeństwa na jednym koncie. Nie publikuje jednak ogłoszeń w zewnętrznych portalach i nie zapewnia zgodności z CRA, PSTI ani SOC 2. Aktywna subskrypcja Kit pozwala przyjmować nieograniczoną liczbę zgłoszeń bezpieczeństwa. Ograniczenia częstotliwości i wstępna ocena AI pomagają zarządzać zgłoszeniami, ale nie eliminują niepożądanych treści ani nie gwarantują poprawnej klasyfikacji. Dostępy zespołu są rozliczane za użytkownika; aktualne warunki sprawdź w cenniku.

Zakres programu, politykę i procedury zespołu trzeba osobno sprawdzić pod kątem właściwych wymogów CRA, PSTI lub kontroli objętych SOC 2.

Co robić w ostatnie trzy tygodnie przed Demo Day

Trzy tygodnie przed: postaw /careers z dwoma stanowiskami, na które naprawdę będziesz rekrutować, i opublikuj security.txt z polami Contact oraz Expires. Sprawdź, czy oba adresy działają.

Dwa tygodnie przed: napisz politykę ujawniania podatności (zakres, dozwolone testy, zgłoszenia anonimowe, brak wymogu danych osobowych, safe harbor) oraz trzy maile do kandydatów, które będziesz wysyłać najczęściej: potwierdzenie, odmowę i zaproszenie na rozmowę. Szablony ułatwią odpowiedzi przy większej liczbie zgłoszeń.

Tydzień przed: wskaż z imienia i nazwiska, kto odpowiada za każdą kolejkę i co się dzieje, kiedy ta osoba śpi. Ustaw termin potwierdzenia tam, gdzie zdołasz go dotrzymać, a potem przetestuj oba kanały, wysyłając zgłoszenia samemu sobie.

Przypadek Cursora to powód, dla którego trzeba testować. Poprawny adres nie wystarczył do zapewnienia dalszej komunikacji.

Załóż konto w Kit, jeśli chcesz prowadzić portal kariery i VDP w tym samym produkcie. Przed publikacją przetestuj przyjmowanie zgłoszeń, odpowiedzi i zastępstwa. Niezależnie od narzędzia ważne jest, by każda kolejka miała osobę odpowiedzialną za obsługę.

Wszystkie pomiary Launch YC, sprawdzenia stron z ofertami pracy i plików security.txt oraz ceny dostawców w tym artykule pochodzą z 13 sierpnia 2026 i zmieniają się z dnia na dzień.