GitHub меняет программу bug bounty: новые правила и улучшенный опыт исследователей

Что изменилось?

GitHub опубликовал пост Next chapter: Restructuring GitHub’s bug bounty program, где подробно описал предстоящие изменения в своей программе вознаграждения за уязвимости. Основная цель – повысить удобство работы исследователей и ускорить процесс оценки найденных багов.

Ключевые нововведения

1. Расширенный спектр охвата – теперь в программе участвуют не только ядро платформы, но и связанные сервисы (GitHub Actions, Dependabot, Codespaces и т.д.).
2. Новые уровни вознаграждений – введены более гибкие диапазоны выплат, ориентированные на сложность и потенциальный ущерб. Премии за критические уязвимости могут достигать $100 000.
3. Упрощённый процесс подачи – обновлённый портал Bug Bounty теперь поддерживает автозаполнение, интеграцию с популярными платформами (HackerOne, Bugcrowd) и более прозрачный статус‑трекинг.
4. Выделенная команда liaison – для каждого исследователя будет назначен персональный менеджер, отвечающий за коммуникацию, уточнение деталей и ускорение ревью.
5. Более быстрый цикл верификации – среднее время от подачи до ответа сокращено с 14 до 5 дней благодаря автоматизированным проверкам и приоритетному рассмотрению.

Почему это важно?

GitHub позиционирует себя как «платформа для всех», и безопасность кода – ключевой элемент её экосистемы. Улучшив условия программы, компания стремится привлечь больше талантливых исследователей, сократить время реакции на уязвимости и, в конечном счёте, повысить уровень защиты миллионов репозиториев.

Ссылка на оригинал

GitHub Blog: Next chapter – Restructuring GitHub’s bug bounty program