سوالات مالی، نحوه محاسبه هزینهها، کارمزد پلتفرم
بله. در صورتی که وضعیت تمامی گزارشهای ثبت شده در سامانه مشخص شده باشد، میتوانید با ارسال نامه رسمی، درخواست عودت ماندهی اعتبار خود را ثبت کنید تا ماندهی موجودی به حساب شما بازگردانده شود.
بله؛ برای تضمین پرداخت بهموقع پاداش شکارچیان پس از تأیید گزارشها، سازمانها پیش از انتشار برنامه، کیف پول خود را به میزان دلخواه یا بر اساس برآورد اولیه (حداقل ۲ برابر بیشترین بانتی اعلام شده در جدول قیمت گذاری) شارژ میکنند.
بله. صورتحساب رسمی تمامی پرداختها مطابق با قوانین مالیاتی در سامانه مؤدیان ثبت میشود و نسخه برخط آن مستقیماً از طریق میزکار میدان قابل دانلود است.
راهاندازی هدف در باگبانتی راورو هزینه ثابت یا حق اشتراک اجباری ندارد. هزینههای شما صرفاً به ازای آسیبپذیریهای واقعی کشفشده و تأییدشده محاسبه میشود.
هزینهی استفاده از خدمت باگبانتی در پلتفرم راورو بهصورت پرداخت به میزان مصرف (Pay-Per-Use) محاسبه میشوند. ساختار مبلغ پرداختی برای هر آسیبپذیری تأییدشده به شکل زیر است:
مبلغ کل پرداختی سازمان=مبلغ بانتی قابل پرداخت به شکارچی (۷۵٪)+کارمزد پلتفرم راورو (۲۵٪)
این مبلغ از اعتبار کیف پول شما کسر خواهد شد.
سوالات عمومی
باگبانتی (Bug Bounty) یا همان «برنامه پاداش آسیبپذیری»، یک رویکرد ساختاریافته و مدرن در امنیت سایبری است که در آن، سازمانها از جامعهای بزرگ از متخصصان امنیت و هکرهای قانونمند (شکارچیان) دعوت میکنند تا سامانهها، وبسایتها و اپلیکیشنهای آنها را مورد ارزیابی قرار دهند و آسیبپذیریهای امنیتیشان را کشف کنند. در این مدل، سازمانها به ازای هر آسیبپذیری معتبر و تأییدشدهای که کشف میشود، پاداش (Bounty) مشخصی به شکارچی پرداخت میکنند.
باگبانتی به هیچ عنوان به معنای «هک کردن بدون مجوز»، «آزاد گذاشتن هکرها برای تخریب سیستم» یا «اسکن امنیتی توسط ابزارهای خودکار» نیست.
باگبانتی یک فرآیند کاملاً قانونمند، دارای چارچوب، قانون و دارای محدوده مشخص (Scope) است.
هدف آن تخریب یا ایجاد اختلال نیست، بلکه کشف مسئولانه آسیبپذیریها پیش از سوءاستفاده کلاهسیاههاست.
همچنین این روش مکمل تست نفوذ (PTaaS) است و جایگزین تیم امنیت داخلی سازمان نمیشود، بلکه بازوی کمکی آن است.
در تست نفوذ، تعداد محدودی متخصص در بازه زمانی کوتاه (مثلاً یک یا دو هفته) سیستم را بررسی میکنند؛ اما در باگبانتی، سازمان به طور مستمر و توسط صدها متخصص با تخصص‌ها و با زاویه‌دیدهای مختلف ارزیابی میشود. همچنین در باگبانتی، پرداخت هزینه صرفاً بر اساس نتیجه و آسیبپذیریهای واقعیِ کشفشده (Pay-Per-Use) انجام میشود، نه عدد ثابت.
«شکارچی» یا هکرمجاز، متخصصی در حوزه امنیت سایبری است که دانش و مهارت خود را در زمینه تست نفوذ و کشف آسیبپذیری به کار می‌گیرد. شکارچیان در پلتفرم راورو گزارش آسیبپذیریهای کشفشده در میدان‌ها را ثبت میکنند و پس از بررسی و تایید، پاداش مالی دریافت میکنند.
«میدان» به سازمان، شرکت، کسبوکار یا استارتاپی گفته میشود که مالک یا ارائهدهنده داراییهای دیجیتال (مانند وبسایت، اپلیکیشن موبایل، زیرساخت شبکه و…) است. میدان با راهاندازی یک برنامه باگبانتی در راورو، اهداف و محدوده (Scope) مورد ارزیابی خود را مشخص میکند و با تعیین بودجه و پاداشها، از متخصصان امنیت میخواهد تا امنیت داراییهایش را ارزیابی کنند.
سوالات پر تکرار شکارچیان
اگر گزارشی رد شود یا اختلاف نظری میان شکارچی و داور/میدان ایجاد شود، شکارچی می‌تواند در صورت داشتن مستندات جدید، از طریق میزکاری، درخواست تجدیدنظر خود را ثبت کند تا بر اساس قوانین داوری پلتفرم مجدداً بررسی شود. پیگیری از طریق روش‌های غیررسمی (مانند چت یا شبکه‌های اجتماعی) به رسمیت شناخته نمیشود.
پاداش هر آسیبپذیری بر مبنای شدت خطر، اهمیت دارایی و جدول پاداشِ آن هدف تعیین میشود. پس از تایید نهایی گزارش و اتمام دوره بررسی یا چرخه مالی تعیین‌شده توسط میدان، مبلغ به حساب بانکی تأییدشده‌ی شکارچی واریز می‌گردد.
هر فردی که دانش کافی در زمینه امنیت سایبری، تست نفوذ، امنیت وب، اپلیکیشن یا زیرساخت داشته باشد و قوانین و دستورالعمل‌های پلتفرم را بپذیرد، می‌تواند به عنوان شکارچی (Hunter) ثبت‌نام کند. محدودیت سنی خاصی وجود ندارد، اما احراز هویت و تسویه حساب مالی مستلزم داشتن شرایط قانونی مشخص (مانند مدارک هویتی معتبر، شماره حساب فعال و شماره تلفن معتبر) است.
لیست اهداف فعال از صفحه‌ی اهداف وب سایت در دسترس شماست.
پس از اینکه آسیبپذیری را در محدوده مجازِ یک هدف فعال کشف کردید، باید گزارش استاندارد و مستندی شامل عنوان، بازه‌ی فعالیت، ادرس آی‌پی، مراحل بازتولید (Proof of Concept)، میزان تأثیر و شدت CVSS و راهکار اصلاحی را در فرم ثبت گزارش پلتفرم تکمیل کنید.
سپس گزارش ابتدا توسط تیم داوری راورو و سپس توسط میدان بررسی میشود.
در صورتی که گزارش بر اساس قوانین هدف باشد، پاداش مربوطه محاسبه و به حساب شما تخصیص می‌یابد.
شکارچیان ملزم به رعایت مفاد پیمان عدم افشای اطلاعات (NDA) هستند. افشای جزئیات آسیبپذیریهای کشفشده، اطلاعات میدان‌ها یا سوءاستفاده از دسترسی‌ها پیش از رفع کامل و اجازه کتبی از میدان، تخلف جدی محسوب شده و منجر به مسدود شدن حساب کاربری و پیگرد قانونی خواهد شد.
پلتفرم راورو صرفاً نسبت به دریافت، مدیریت و داوری گزارشها در چارچوب میدان‌های فعال و معتبرِ روی بستر خود مسئولیت دارد. راورو در قبال برنامه‌ها، وبسایتها یا سازمان‌هایی که خارج از این پلتفرم فعالیت میکنند یا برنامه‌ي فعالی در راورو ندارند، هیچ‌گونه مسئولیت، نظارت یا تعهدی ندارد.
سوالات پر تکرار نمایندههای سازمان
اگر آسیبپذیری پیش‌تر توسط شکارچی دیگری در پلتفرم ثبت شده باشد یا تیم داخلی شما پیش از ثبت گزارش از آن آگاه بوده و مستندات تاریخی آن موجود باشد، گزارش به عنوان «تکراری» علامت‌گذاری میشود. در این حالت پاداش تنها به اولین شکارچی کشف‌کننده تعلق می‌گیرد و برای میدان هزینه مضاعفی درنظر گرفته نمیشود.
راورو با عقد قراردادهای پیمان عدم افشای اطلاعات (NDA) استاندارد و ملزم کردن تمام شکارچیان به رعایت قوانین و حریم خصوصی، از اطلاعات سازمان شما محافظت میکند.
همچنین تمامی گزارشها در بستری امن از لحظه‌ی ثبت گزارش با استفاده از کلید عمومی (Public Key) رمز میشوند و دسترسی به اطلاعات حساس گزارش فقط برای دارنده‌ی کلید خصوصی (Private Key) که در اختیار نماینده‌ی میدان است فراهم شده است.
فرآیند تیم فنی شما بعد از دریافت گزارش شامل سه گام اصلی است:
بررسی صحت گزارش: بازتولید (Reproduction) سناریوی گزارش‌شده طبق مستندات PoC و تأیید انطباق آن با محدوده برنامه.
تعیین وضعیت: تأیید گزارش، درخواست اطلاعات بیشتر از شکارچی، یا رد آن همراه با استدلال فنی در بازه توافق‌شده (SLA).
ارجاع به تیم فنی و رفع آسیبپذیری: پس از تایید، گزارش به تیم توسعه/امنیت داخلی ارجاع داده شود تا اقدام به رفع آن کنند. بعد از اطمینان از رفع آسیبپذیری از طریق پنل میتوانید درخواست ریتست (بازبینی مجدد) خود را ثبت کنید تا از رفع کامل آسیبپذیری اطمینان حاصل کنید.
شکارچیان قانونمند (White-hat Hackers) در راورو متعهد به رعایت قوانین افشای مسئولانه (Responsible Disclosure) هستند. آنها اجازه تخریب، تغییر مخرب داده‌ها، حملات منع خدمات (DoS/DDoS) یا افشای عمومی آسیبپذیریها پیش از رفع کامل را ندارند. در صورت تخلف، حساب کاربری آنها مسدود شده و مشمول پیگرد قانونی خواهند شد.
تیم پشتیبانی فنی راورو از نخستین گام در کنار شماست. کارشناسان ما در جلسات آنبوردینگ (Onboarding) به شما کمک میکنند تا بر اساس زیرساخت و معماری سامانه، محدوده‌ی مجاز (In-Scope)، محدوده‌های ممنوع (Out-of-Scope)، شدت ریسک‌ها و سقف بودجه/پاداش را استانداردسازی کنید.
همچنین قالب‌های از پیش‌آماده و سیاست‌های استاندارد راورو در پنل اختیارتان قرار گرفته است تا راحتتر بتوانید برنامه‌ای مناسب و شفاف تدوین کنید.
در صورت بروز اختلاف (مثلاً در محاسبه شدت خطر CVSS، تطابق با محدوده یا ادعای باگ تکراری Duplicate)، موضوع وارد فرآیند رسمی تجدیدنظر میشود. نماینده میدان می‌تواند مستندات فنی و لاگ‌های خود را در سامانه ثبت کند تا گزارش توسط داور مستقل پلتفرم ارزیابی و رأی نهایی صادر شود. تصمیم‌گیری داوری بر اساس استانداردهای بین‌المللی (مانند CVSS و OWASP) و قوانین اعلام‌شده در سند برنامه میدان انجام میشود.
پس از ارسال گزارش توسط شکارچی و انطباق گزارش با شرایط و قوانین هدف توسط داوری راورو، گزارش به میزکار نماینده میدان با وضعیت ”بررسی میدان“ ارسال میشود.
سازمان در بازه زمانی مشخص (معمولاً طبق توافقات SLA پلتفرم) فرصت دارد گزارش را بررسی کند. در صورت صحت، آن را تایید کرده و فرآیند پرداخت پاداش را طی میکند؛ و در صورت وجود ابهام یا عدم انطباق با محدوده، می‌تواند دلایل خود را برای رد یا درخواست اصلاح ثبت کند.
برای راهاندازی هدف، نماینده سازمان پس از ثبت‌نام و تکمیل اطلاعات حقوقی به عنوان کاربر میدان می‌تواند اقدام به تعریف هدف کند. که هر هدف شامل:
تاریخ فعال سازی و سقف بودجه‌ی اختصاص یافته
محدوده‌های مجاز: نام و ادرس آی‌پی دامنه‌های مجاز برای شناسایی آسیبپذیری
قوانین: بایدها و نبایدهای ثبت گزارش
جدول پاداشها: حداکثر و حداقل قابل پرداخت به ازای هر نوع آسیبپذیری
نوع دسترسی شکارچیان: عمومی/دعوتنامه‌ای
پس از بررسی و تایید نهایی توسط کارشناسان راورو، برنامه باگبانتی میدان شما فعال شده و جامعه شکارچیان می‌توانند ارزیابی امنیت و ثبت گزارشهای شکار خود را آغاز کنند.