Twój pierwszy program ujawniania podatności. Aktywny w 5 minut.

VDP to nie bug bounty — nie oferujesz nagród. To udokumentowany, zgodny z przepisami kanał, przez który badacze zgłaszają podatności. SOC 2 Type II, ubezpieczyciele cyber i klienci korporacyjni coraz częściej wymagają dowodu, że go masz. Darmowy plan Kit daje dokładnie to — bez żadnych zobowiązań finansowych.

Badacze i tak szukają. VDP zmienia tylko jedno: gdzie ląduje to, co znajdą. Bez opublikowanych warunków safe harbor zgłoszenie do Ciebie jest dla badacza ryzykiem prawnym, więc ten działający w dobrej wierze woli ujawnić sprawę publicznie. Opublikuj warunki, a najpierw przyjdzie do Ciebie.

Tak. Przełącz portal w tryb tylko na zaproszenie w ustawieniach portalu bezpieczeństwa, a Kit wygeneruje tajny token dostępu. URL zaproszenia wysyłasz bezpośrednio zaufanym badaczom — po kliknięciu dostają trwałą sesję. Każdy inny odwiedzający zobaczy krótki formularz prośby o dostęp, a nie ślepy zaułek. Oczekujące prośby pojawiają się w panelu bocznym z licznikiem; jedno kliknięcie zatwierdza prośbę i automatycznie wysyła badaczowi link z zaproszeniem.

Formularz zgłoszeń najpierw przepuszcza wszystko przez CAPTCHA i rate limiting, a to, co przetrwa, ocenia pod kątem zmyślonych CVE, halucynowanych funkcji i szablonowego języka. Ponad 80% szumu odpada, zanim dotrze do Twojej kolejki.

Każde nowe zgłoszenie przechodzi screening — ocena wiarygodności plus konkretne sygnały: zmyślone CVE, halucynowane funkcje, szablonowy język. Oznaczone zgłoszenia trafiają do przeglądu, zanim zabiorą Twojemu zespołowi choćby minutę. Do tego CAPTCHA i rate limiting: ponad 80% szumu w ogóle nie dociera do Twojej kolejki.

Formularz załatwi Ci przyjmowanie zgłoszeń. Nie da Ci śledzenia SLA, punktacji CVSS, historii statusów, wątków rozmów z badaczami, wypłat nagród, obsługi dokumentów podatkowych ani eksportu SOC 2 jednym kliknięciem. Kit daje to wszystko w komplecie — wdrażasz go przez jedno popołudnie, a nie budujesz przez cały sprint.

Świetnie. Vanta i Drata śledzą, czy masz VDP — Kit go prowadzi. Włącz VDP w Kit, skieruj narzędzie do zgodności na opublikowany security.txt, a wymóg jest odhaczony i stoi za nim prawdziwy program. Z dodatkiem Kit synchronizuje też potwierdzone zgłoszenia do Vanta jako dowody podatności dla SOC 2 CC7.1 i ISO 27001 A.8.8 — rozwiąż zgłoszenie w Kit, a Vanta przy następnej synchronizacji odnotuje je jako naprawione.

Kit zaczynał od rekrutacji, ale maszyneria pod spodem jest ta sama: ustrukturyzowane przyjmowanie zgłoszeń, licznik SLA, eksport dla audytora. VDP kieruje ją tylko na inną kolejkę. Nasz własny program ujawniania podatności działa właśnie na niej.

Gdy wpada krytyczne zgłoszenie, Kit od razu powiadamia Twój zespół. Dalej: triażujesz je, oceniasz w skali CVSS v3.1, piszesz do badacza w jednym wątku, wskazujesz osobę odpowiedzialną i prowadzisz sprawę na liczniku SLA. Kiedy audytor poprosi o dowody, cała oś czasu idzie na eksport.

Triaż. Każde zgłoszenie to jedna karta na żywo, którą Kit edytuje w tej samej wiadomości, a historia zbiera się w jej wątku. Ze Slacka Twój zespół może przypisać zgłoszenie, przyjąć je do obsługi (co zatrzymuje licznik SLA potwierdzenia przyjęcia), przyjąć lub odrzucić odwołanie, przejąć zgłoszenie skierowane do komponentu, odłożyć przypomnienie o utkniętym zgłoszeniu albo oznaczyć, że zgłoszenie czeka na badacza. Każde kliknięcie jest autoryzowane ponownie: liczy się potwierdzona tożsamość Slack osoby klikającej i te same kontrole uprawnień co w aplikacji.

Oznacz zgłoszenie jako objęte ograniczonym dostępem, a nigdy nie trafi na Slacka — bez karty, bez wątku. Grono odbiorców kanału to nie uprawnienie w Kit, więc nic wrażliwego nie zależy od porządku w kanałach. Jeśli ograniczenie pojawi się, gdy wątek już istnieje, Kit zaciera po nim ślad: usuwa odpowiedzi bota, a wiadomość główną zastępuje neutralną notatką bez tytułu, bez identyfikatora zgłoszenia i bez linku. Osoba dyżurna nadal dostaje alert, żeby licznik SLA nie został bez nadzoru — ale wyłącznie e-mailem i bez żadnych szczegółów zgłoszenia w treści.

Tak. Każde zgłoszenie eksportuje się jako dossier incydentu w PDF: streszczenie dla kierownictwa, pełna oś czasu, rozbicie CVSS, postmortem, wykaz dowodów i strona podpisów. Jedno kliknięcie, jeden plik — prosto do segregatora na audyt.

HackerOne i Bugcrowd mają darmowe formularze zgłoszeń. Darmowy plan Kit też. Różnica zaczyna się po przyjęciu zgłoszenia: Kit dokłada liczniki SLA, punktację CVSS v3.1, triaż na tablicy kanban, wątek rozmowy z badaczem, wypłatę nagród i eksporty SOC 2 — za 49$/mies. ponad cenę stanowiska. Gdy wyrośniesz z Kit, cała historia programu wychodzi w CSV albo PDF: podsumowania zgłoszeń, oceny CVSS, wyniki SLA, zapisy komunikacji i księga finansowa.

Tak. Pełny eksport konta Kit pakuje każdy rekord VDP — programy, zgłoszenia, oceny, wiadomości, nagrody, wypłaty, profile badaczy i wyniki screeningu — w ustrukturyzowany JSON. Jedno kliknięcie w ustawieniach konta. Na pobranie archiwum masz 7 dni. Twoja historia bezpieczeństwa należy do Ciebie.