Hackers do Brasil › bug bounty
Central de bug bounty
Esta página é a porta de entrada do tema no Hackers do Brasil. Ela não repete o guia: organiza o que existe publicado, ajuda a escolher o primeiro programa e mostra onde praticar antes de testar ativo de terceiro.
Por onde começar
- Entenda o modelo. O guia completo de bug bounty explica escopo, triagem, o que costuma ser recompensado e os erros que encerram a participação.
- Pratique antes de reportar. Falha encontrada no primeiro dia de programa costuma ser a mesma que todo mundo encontrou. Treine técnica em laboratório e em metodologia de teste.
- Leia escopo como contrato. Ativo fora da lista não é achado, é incidente. Regra sobre dado de usuário, engenharia social e automação varia por programa e vale mais que a técnica.
O que cada material cobre
Funcionamento do programa, o que é recompensado, realidade financeira e erros que encerram a participação.
A metodologia que sustenta um relatório aceito: escopo, validação e prova de conceito.
Diferença entre campanha de adversário e caça a falha individual em programa aberto.
Reconhecimento com fonte registrada: o que dá para descobrir sem tocar no alvo.
Limite legal e autorização: o que separa pesquisa de acesso indevido no Brasil.
Plataformas de estudo e sua relação com programas de recompensa.
Escolher o primeiro programa
Programa grande, com escopo enorme e milhares de pesquisadores, é o pior lugar para começar: a probabilidade de duplicata é alta e o retorno inicial tende a zero. Programa novo, com escopo menor e poucos participantes, ensina o ciclo completo — reconhecimento, validação, relatório, triagem e correção — com chance real de ser o primeiro a encontrar.
Vale considerar programa sem recompensa (VDP) como primeiro passo. Ele paga em aprendizado e histórico verificado: você aprende a escrever para triagem e constrói reputação sem a pressão de concorrer com quem já conhece o alvo há anos.
Três sinais de que o programa não serve para começar: escopo vago ("todos os sistemas da empresa"), regra que proíbe teste automatizado sem definir o que é automação, e tempo de resposta em triagem acima de 90 dias. Os três indicam que seu relatório vai envelhecer na fila.
- Escopo nominal, com lista de ativos e o que está fora
- Regra clara sobre automação, dado de usuário e teste em produção
- Histórico de triagem com tempo médio de resposta
- Canal de dúvida antes de testar, não depois
Autorização é o que separa pesquisa de crime. Teste apenas ativo listado no escopo do programa, respeite o limite de requisição e nunca acesse dado de usuário além do mínimo necessário para provar a falha. Em dúvida sobre um ativo, pergunte à triagem antes de tocar.
Dúvidas antes de escolher um programa
Preciso de convite para participar de um programa?
Não para programas públicos, que qualquer pessoa pode acessar depois de criar conta na plataforma. Programas privados só abrem por convite, normalmente enviado a quem já tem histórico de achados válidos — outro motivo para começar em escopo pequeno e construir reputação.
Programa sem recompensa (VDP) vale a pena?
Sim, como primeiro passo. Ele não paga dinheiro, mas oferece o que falta no início: alvo real, triagem de verdade e histórico verificável. Quem envia relatório claro em VDP costuma receber convite para programa privado depois.
O que conta como relatório duplicado?
A mesma falha, na mesma causa raiz, já reportada antes por outra pessoa. Variação de payload que explora o mesmo defeito geralmente é tratada como duplicata. O que diferencia é impacto distinto demonstrado — por exemplo, o mesmo controle de acesso quebrado levando a dado de outro cliente em vez de apenas a um identificador interno.