Kit vs Bugcrowd: Zwerbowany tłum badaczy czy dowód, że zgłoszenia zostały obsłużone.
Bugcrowd werbuje badaczy pod twój zakres, a powyżej darmowego progu jego ludzie sprawdzają każde zgłoszenie, zanim zobaczą je twoi inżynierowie. Kit nie daje ci ani jednego badacza ani żadnej usługi triażu. Przyjmuje to, co przyniesie security.txt i formularz zgłoszeniowy, i prowadzi dokumentację, o którą pyta audytor.
Kto powinien wybrać co?
Wybierz Kit, jeśli:
- Odpowiadasz audytorowi, który poprosił o dowód na proces ujawniania podatności, a budżetu na AppSec nie masz
- Obsługujesz zgłoszenia, które przychodzą same — z security.txt, ze skanerów, z ulicy
- Napływające zgłoszenia czytasz sam i chcesz je mieć wstępnie oznaczone przez filtr śmieci i wykrywanie duplikatów
- Wpisujesz jawną cenę miesięczną w budżet GRC bez rozmowy z handlowcem
- Chcesz ruszyć przed piątkiem — formularz zgłoszeniowy wkleisz na własną stronę pierwszego dnia
Wybierz Bugcrowd, jeśli:
- Próbujesz znaleźć podatności — o zwerbowany tłum tu właśnie chodzi, a Kit jest z zupełnie innej kategorii
- Chcesz, żeby zgłoszenia były sprawdzone i uszeregowane, zanim zobaczą je twoi inżynierowie
- Ujednolicasz poziomy ważności na bazie VRT, gdzie klasa przekłada się na priorytet, z mapowaniami CWE i CVSS v4
- Piszesz skrypty do kolejki zgłoszeń przez REST API
- Spodziewasz się na darmowym progu więcej niż 25 zgłoszeń miesięcznie
- Nie przeszkadza ci 12-miesięczna umowa i nieujawniona cena odnowienia
Co wyróżnia Bugcrowd
Bugcrowd jest znany z trzech rzeczy: zwerbowanego tłumu z triażem prowadzonym przez ludzi, VRT i darmowego progu bez limitu.
Najpierw tłum, potem człowiek jako filtr
Bugcrowd werbuje badaczy i kieruje ich na twój zakres. Od VDP Basic w górę jego ludzie najpierw sprawdzają każde zgłoszenie i nadają mu priorytet — progi sprzedaje się jako porcje tej pracy, „Managed Triage for First 15 or 75 Submissions”. Fully Managed dokłada opiekę nad relacjami z badaczami i wpis w publicznym katalogu, który według marketingu Bugcrowd daje „18x more submissions on average”.
Dlaczego to ważne: To, co dociera do twoich inżynierów, przeszło już przez ludzkie oczy. Filtrowanie śmieci AI w Kit zmniejsza stos, ale nie zastępuje czytelnika.
Vulnerability Rating Taxonomy
Nazwane klasy podatności mają przypisane poziomy od P1 do P5, więc dwie osoby triażujące przejęcie subdomeny zgadzają się bez kłótni o wektory CVSS. Apache-2.0 na GitHubie, z mapowaniami na CVSS v3, CVSS v4 i CWE w formacie maszynowym, utrzymywane przez cotygodniową wewnętrzną radę VRT — wersja 1.19.1 wyszła w lipcu 2026.
Dlaczego to ważne: Kit ma kalkulator CVSS v3.1 i nic, co by temu dorównało. Poziom ważności w Kit to ocena konkretnego analityka, broniona wektorem.
Darmowe przyjmowanie zgłoszeń bez limitu i prawdziwe REST API
VDP Compliance przyjmuje nieograniczoną liczbę zgłoszeń za darmo, przy obsłudze własnymi siłami. Udokumentowane API pod api.bugcrowd.com daje uwierzytelnianie tokenem, dostęp ograniczony rolą, opcjonalną listę dozwolonych adresów IP i limit 60 zapytań na minutę z jednego IP.
Dlaczego to ważne: Dwa miejsca, w których Bugcrowd jest po prostu lepszy od Kit: liczba zgłoszeń na darmowym progu i kolejka, którą przeczytają twoje skrypty.
W czym Kit jest dobry
Cztery rzeczy, które Kit robi dobrze, zaczynając od badacza, który nie ma konta.
Cena na stronie z cennikiem
Dodatek VDP w Kit ma jawną cenę miesięczną, 30-dniowy okres próbny i zero zobowiązania rocznego. Kwoty Basic w Bugcrowd to stawki na pierwszy rok dla nowych klientów płacących z góry, a ceny odnowienia nie ma na żadnej ze stron, które tę cenę podają.
Pozycja w budżecie GRC, którą zatwierdzisz bez rozmowy z handlowcem i bez niespodzianki w drugim roku.
security.txt publikowany za ciebie
Kit sam publikuje security.txt zgodny z RFC 9116 pod /.well-known/security.txt i pilnuje daty ważności — na 14 dni przed wygaśnięciem pliku wysyła alert na Slacka.
Plik, do którego badacze zaglądają najpierw, działa od pierwszego dnia i nigdy nie wygasa po cichu.
Warstwa dowodowa w komplecie
Księga nagród tylko do dopisywania z nocnym sprawdzaniem spójności, eksporty dowodów na potrzeby SOC 2, synchronizacja z Vantą, zbieranie formularzy W-9/W-8BEN oraz panel z MTTA i MTTR.
Kiedy audytor pyta, jak obsługujesz zgłoszenia o podatnościach, odpowiedzią jest eksport, a nie slajd.
72-godzinny zegar potwierdzenia odbioru
Każde zgłoszenie uruchamia 72 godziny na potwierdzenie odbioru (jeden termin dla wszystkich poziomów ważności), z alertem na ostatniej ćwiartce zegara oraz dyżurem albo harmonogramem PagerDuty, który ten alert odbierze.
Alert o zagrożonym terminie działa bez żadnej konfiguracji; osobne cele naprawy dla każdego poziomu ważności raportujemy wstecznie.
Czego Kit nie ma
Cztery rzeczy, które Bugcrowd robi, a Kit nie . Przy każdej piszemy, co dalej.
Tłum badaczy i triaż po stronie dostawcy
Bugcrowd kieruje zwerbowaną społeczność badaczy na twoje zasoby i sprzedaje triaż na sztuki; progi Basic nazywają się dosłownie „Managed Triage for First 15 or 75 Submissions”. Kit nie werbuje nikogo i nie triażuje niczego za ciebie. Filtrowanie śmieci AI i oznaczanie duplikatów na podstawie embeddingów zmniejszają stos, ale każde zgłoszenie czyta człowiek z twojego zespołu, a duplikaty Kit tylko oznacza — nie scala ich.
Czy to dodamy? Nie. To różnica strukturalna. Jeśli zgłoszenia ma czytać ktoś inny, właściwą odpowiedzią jest dostawca z własnym zespołem triażu — a Kit nim nie jest.
Darmowe przyjmowanie zgłoszeń bez limitu
Darmowy próg VDP Compliance w Bugcrowd przyjmuje nieograniczoną liczbę zgłoszeń, obsługiwanych własnymi siłami. Darmowy próg w Kit kończy się na 25 zgłoszeniach miesięcznie i wymaga płatnego stanowiska w Kit — sam nie istnieje.
Czy to dodamy? Raczej nie. To właśnie ten limit pozwala dorzucać przyjmowanie zgłoszeń do stanowiska bez dopłaty.
REST API
Bugcrowd dokumentuje REST API pod api.bugcrowd.com — uwierzytelnianie tokenem, dostęp ograniczony rolą i limit 60 zapytań na minutę z jednego IP. Kit nie ma REST API, tylko narzędzia MCP i webhooki. To pasuje do pracy z agentem AI, a nie do skryptu w Pythonie sięgającego po twoją kolejkę zgłoszeń.
Czy to dodamy? Może. MCP i webhooki działają dziś, REST-a nie mamy w planach.
VRT
Vulnerability Rating Taxonomy od Bugcrowd przypisuje nazwane klasy podatności do poziomów P1–P5 i udostępnia mapowania na CVSS v3, CVSS v4 i CWE jako JSON na licencji Apache-2.0; wersja 1.19.1 wyszła w lipcu 2026. Kit ma kalkulator CVSS v3.1, sztywną listę 13 klas i ani taksonomii CWE, ani CVSS v4.
Czy to dodamy? Możliwe. VRT jest na Apache-2.0, więc licencyjnie nic nie stoi na przeszkodzie — ale w planach nic nie ma.
Różnice w filozofii
Te produkty odpowiadają na inne pytania.
Dowód, że zgłoszenie zostało obsłużone
Kit zakłada, że zgłoszenia już przychodzą: z security.txt, ze skanera, z maila od nieznajomego. Sprzedaje zapis tego, co stało się dalej. Zegar potwierdzenia odbioru, księga tylko do dopisywania, eksporty dowodów skrojone pod audyt. Stanowisko kosztuje 29,99 zł, pełny moduł to dodatek za 159 zł. Nikt nie poluje za ciebie.
Dowieźć badaczy, odmierzyć triaż
Bugcrowd wychodzi z założenia, że do znalezienia podatności potrzeba badaczy z zewnątrz, a do przeczytania ich zgłoszeń — przeszkolonych ludzi. Sprzedaje więc jedno i drugie: zwerbowaną społeczność wycelowaną w twój zakres oraz triaż odmierzany paczkami po 15 albo 75 zgłoszeń. Jeśli twoje pytanie brzmi „kto znajdzie nasze błędy”, to założenie jest trafne.
Porównanie cen
Kit
29,99 zł za stanowisko/mies. + dodatek VDP 159 zł/mies.
159 zł/mies. poza opłatą 29,99 zł za stanowisko, rezygnacja z miesiąca na miesiąc
- Przyjmowanie zgłoszeń, portal i potwierdzenia w cenie stanowiska Kit, do 25 zgłoszeń miesięcznie
- Tablica triażu, 72-godzinny zegar potwierdzenia odbioru, księga, matryca nagród i eksporty dowodów na SOC 2 w dodatku
- 30-dniowy okres próbny dodatku; płacisz dopiero wtedy, gdy go zostawisz
- Rezygnacja z miesiąca na miesiąc, bez 12-miesięcznej umowy
- Zbieranie formularzy W-9/W-8BEN i rozliczanie nagród w 7 walutach
Bugcrowd
Darmowy próg z obsługą własnymi siłami; Basic 299–999$/mies. tylko w pierwszym roku
Ceny Basic obowiązują tylko w pierwszym roku, płatne z góry, wyłącznie dla nowych klientów VDP
- VDP Compliance: za darmo, obsługa własnymi siłami, nieograniczona liczba zgłoszeń, bez triażu po stronie dostawcy
- VDP Basic 15: 299$/mies. w pierwszym roku — 3 588$ jako 12-miesięczna umowa w AWS Marketplace
- VDP Basic 75: 999$/mies. w pierwszym roku — 11 988$ za 12 miesięcy w AWS
- Fully Managed: „Custom”, a przycisk prowadzi do formularza kontaktowego
- Ceny odnowienia nie ma ani na stronie progów, ani na stronie wyceny, ani w ofercie AWS
Porównanie cen
Bugcrowd podaje prawdziwe ceny, co w tej kategorii jest rzadkością — ale kwoty Basic to stawki na pierwszy rok dla nowych klientów płacących z góry, AWS wystawia oba progi jako umowy 12-miesięczne, a ceny odnowienia nie ma na żadnej ze stron, które cenę podają. Dane zakupowe Vendr sytuują opłatę za VDP w Bugcrowd w przedziale 15 000–40 000$ rocznie; to szacunek z prawdziwych umów, nie cena katalogowa. Dodatek w Kit kosztuje 159 zł miesięcznie poza opłatą 29,99 zł za stanowisko, z rezygnacją z miesiąca na miesiąc.
Przechodzisz z Bugcrowd?
Pokochasz Kit, jeśli:
- Każde zgłoszenie obsługujesz już sam na darmowym VDP Compliance, a audytorowi nie wystarcza panel
- Chcesz mieć cenę na drugi rok na piśmie, zanim podpiszesz pierwszy
- Audytor poprosił o dowody na proces ujawniania podatności, termin mija w piątek
- Padło pytanie, co się dzieje po piętnastym zgłoszeniu w triażu, a cennik milczy
- Twój triaż dzieje się na Slacku — karty zgłoszeń, przyciski odwołań, pingi na dyżur
Zostań z Bugcrowd, jeśli:
- Triaż po stronie dostawcy pochłania ruch, którego twój zespół nie przeczyta
- Liczy się reputacja twojego programu wśród badaczy i wpis w publicznym katalogu — żadne z tego nie przechodzi razem z tobą
- Piszesz skrypty pod REST API
- Jesteś w środku 12-miesięcznej umowy Basic
Przenoszenie danych: REST API Bugcrowd sięga po twoje zgłoszenia programowo, ale eksportu zbiorczego strona wprowadzająca do API nie opisuje. Zapis w Kit zaczyna się od następnego zgłoszenia, które przyjdzie.
Program ujawniania podatności działający jeszcze przed piątkiem.
Okres próbny dodatku trwa 30 dni i nic nie kosztuje, dopóki go nie zostawisz. Tak czy inaczej nie zadzwoni do ciebie żaden handlowiec.
$49€49159 zł£39 miesięcznie, poza opłatą za stanowisko w Kit
Wypróbuj za darmo