Bug bounty é um programa que recompensa pesquisadores externos por relatar falhas de segurança de forma responsável. Vale a pena quando a empresa já faz testes, corrige rápido e tem equipe para triar relatos; antes disso, uma política de divulgação de vulnerabilidades costuma ser o primeiro passo.
Bug bounty é um programa em que a empresa convida pesquisadores de segurança externos a procurar falhas em sistemas definidos e paga recompensas por relatos válidos, feitos de forma responsável. Vale a pena quando a empresa já faz testes de segurança, tem processo para corrigir rápido e equipe para triar os relatos. Antes disso, o primeiro passo costuma ser uma política de divulgação de vulnerabilidades: um canal público e regras claras para receber avisos, mesmo sem pagar.
O nome vem do inglês: bug (falha) e bounty (recompensa). Em vez de contratar um teste com prazo e equipe fixos, a empresa abre seus sistemas, dentro de regras, para muitas pessoas testarem ao longo do tempo.
Como funciona um programa de bug bounty?
O funcionamento básico tem quatro partes:
- Escopo. A empresa define quais sistemas podem ser testados e quais estão fora.
- Regras. O que é permitido e proibido: técnicas, acesso a dados, testes de disponibilidade, engenharia social.
- Relato e triagem. O pesquisador envia o relato; a empresa, ou uma plataforma contratada, verifica se a falha é real, se está no escopo e qual a gravidade.
- Recompensa e correção. Relatos válidos recebem pagamento conforme uma tabela de severidade, e a empresa corrige.
Programas podem ser públicos, abertos a qualquer pesquisador, ou privados, só para convidados. Muitas empresas começam pelo privado, para controlar o volume e aprender.
Bug bounty, pentest e política de divulgação: qual a diferença?
| Aspecto | Política de divulgação de vulnerabilidades | Bug bounty | Pentest |
|---|---|---|---|
| O que é | Canal e regras para receber avisos de falhas | Recompensa por falhas válidas encontradas | Teste contratado com escopo, prazo e equipe definidos |
| Pagamento | Normalmente não há | Por relato válido, conforme severidade | Por projeto, independentemente do que for achado |
| Cobertura | Depende de quem encontrar e avisar | Contínua, com muitos testadores | Profunda, em período definido |
| Previsibilidade de custo | Alta | Variável | Alta |
| Exige maturidade | Baixa a média | Alta | Média |
| Melhor para | Toda empresa com sistemas expostos | Empresas com processo de correção maduro | Validar sistemas em marcos definidos |
As três se complementam. Um pentest dá profundidade em um momento; o bug bounty dá cobertura contínua; a política de divulgação garante que avisos espontâneos tenham para onde ir.
Quando o bug bounty faz sentido?
O programa costuma valer a pena quando a empresa:
- Tem sistemas relevantes expostos na internet, como plataforma de clientes, aplicativo ou API.
- Já passou por pentests e corrigiu os achados mais óbvios.
- Tem um processo de correção com responsáveis e prazos por severidade.
- Consegue triar relatos rapidamente, com equipe própria ou com apoio de uma plataforma.
- Tem orçamento reservado para recompensas, que pode variar mês a mês.
- Tem apoio do jurídico para as regras do programa.
E costuma não valer a pena, ainda, quando:
- Nunca foi feito um teste de segurança e há muitas falhas básicas. O programa pagaria caro por problemas que um teste encontraria mais barato.
- Ninguém tem tempo para responder relatos. Pesquisadores sem resposta se frustram e o programa perde credibilidade.
- Correções levam meses. Falhas conhecidas e abertas são um risco acumulado.
Que tipo de falha os pesquisadores encontram?
Os relatos tendem a se concentrar nas categorias que mais aparecem em aplicações web. A edição 2025 do OWASP Top 10 lista, por exemplo, falhas de controle de acesso (A01), configuração insegura (A02), injeção (A05) e falhas de autenticação (A07). A tabela de recompensas costuma ser organizada por severidade, e não por categoria, porque o impacto de uma mesma categoria varia muito de sistema para sistema. Veja o resumo no guia do OWASP Top 10 para gestores.
Como começar sem se expor demais?
Uma sequência prudente:
- Publique uma política de divulgação de vulnerabilidades. Uma página com o canal de contato, o que pode ser testado, o que é proibido, o compromisso de não processar quem age de boa-fé dentro das regras e o prazo de resposta.
- Organize a triagem. Defina quem recebe, quem avalia e quem corrige, com prazos por severidade.
- Faça um pentest nos sistemas que entrarão no programa. Corrija o que for encontrado.
- Comece com um programa privado e escopo pequeno. Poucos sistemas, poucos pesquisadores convidados.
- Defina a tabela de recompensas. Valores por severidade, publicados antes do início.
- Amplie aos poucos. Mais sistemas, mais pesquisadores e, quando fizer sentido, programa público.
Que cuidados jurídicos e de LGPD são necessários?
Um programa de bug bounty autoriza terceiros a testar seus sistemas. Isso exige regras escritas e revisadas pelo jurídico:
- Autorização clara, delimitando escopo e técnicas permitidas.
- Regras sobre dados pessoais. O pesquisador deve parar ao encontrar dados pessoais, acessar o mínimo para demonstrar a falha, não copiar nem divulgar, e apagar o que tiver obtido.
- Avaliação de incidente. Se um relato mostrar que dados pessoais foram expostos, a empresa precisa avaliar se houve incidente nos termos da Resolução CD/ANPD nº 15/2024. Se houver risco ou dano relevante, a comunicação à ANPD e aos titulares tem prazo de três dias úteis. Veja comunicação de incidente à ANPD.
- Confidencialidade. Regras sobre quando e se o pesquisador pode divulgar a falha depois de corrigida.
- Pagamentos. Forma de pagamento, tributação e requisitos de identificação do pesquisador.
A LGPD exige medidas de segurança para proteger dados pessoais de acessos não autorizados (art. 46). Um programa bem regrado é uma dessas medidas; um programa sem regras pode virar fonte de risco.
Plataforma ou programa próprio?
Plataformas especializadas oferecem a comunidade de pesquisadores, a infraestrutura de relato e, em muitos casos, a triagem inicial. Um programa próprio dá mais controle, mas exige estrutura para tudo isso. Para quem está começando, plataforma com programa privado costuma ser o caminho mais simples. Compare as condições, quem faz a triagem e como os dados dos relatos são armazenados.
Próximo passo
Se a sua empresa quer preparar sistemas para um programa de bug bounty, comece por um teste de segurança: compare as empresas de cibersegurança e veja os rankings, calculados com metodologia pública. Se você oferece pentest, triagem ou gestão de programas de vulnerabilidade, crie ou reivindique o perfil gratuito.
Fontes
- OWASP — OWASP Top 10:2025 — categorias de risco mais críticas em aplicações web na edição 2025
- ANPD — Comunicação de incidente de segurança — quando comunicar e prazo de três dias úteis
- CNB/SP — Implementação da comunicação de incidente de segurança sob a ótica da Resolução CD/ANPD 15 — definição de incidente de segurança
- Planalto — Lei nº 13.709/2018 (LGPD) — dever de proteger dados pessoais de acessos não autorizados (art. 46)
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
Bug bounty substitui o pentest?
Não. O pentest é um teste profundo, com escopo e prazo definidos, e costuma vir antes do bug bounty. O programa de recompensas oferece cobertura contínua e olhares variados. Usados juntos, um compensa as limitações do outro.
Quanto custa um programa de bug bounty?
O custo combina as recompensas pagas, que variam com o número e a gravidade das falhas encontradas, a eventual taxa da plataforma e o tempo da equipe interna. Por isso o orçamento é menos previsível que o de um pentest. Começar com programa privado e escopo pequeno ajuda a estimar.
Empresa pequena pode ter bug bounty?
Pode, mas raramente é a primeira medida. Para empresas pequenas, uma política de divulgação de vulnerabilidades com canal de contato e regras claras costuma dar mais retorno. O bug bounty faz sentido quando há sistemas relevantes expostos e capacidade de corrigir rápido.
O que fazer se alguém relatar uma falha sem programa ativo?
Responda com cordialidade, agradeça, peça os detalhes necessários e trate o relato com prioridade. Avalie se houve exposição de dados pessoais e se é preciso comunicar a ANPD. Depois, use a experiência para publicar uma política de divulgação.
Pesquisadores podem acessar dados de clientes?
As regras do programa devem proibir o acesso além do mínimo necessário para demonstrar a falha e exigir que o pesquisador pare ao encontrar dados pessoais. Ainda assim, se houver exposição, a empresa deve avaliar o caso como possível incidente de segurança, conforme a regulamentação da ANPD.