金銭的な報酬を求めている場合はどうなりますか？それではどうすればいいですか？
脆弱性を報告するために財政的な報酬を求めている場合、最初にすべきことは、アプリケーションの責任者がバグバウンティプログラムを実施しているかどうかを確認することです。多くの企業は、研究者にアプリケーションの脆弱性を報告するよう奨励するバグバウンティプログラムを提供しています。会社がバグバウンティプログラムを持っていない場合でも、財政的な報酬を要求することができますが、会社がそれに同意しない可能性について準備する必要があります。

経済的報酬を要求するとき、あなたの意図とあなたの発見の価値について明確にすることが重要です。脆弱性とエクスプロイトを再現する方法を特定するために行った手順を含め、あなたのプロセスと発見したことについて透明になります。また、脆弱性の潜在的な影響と、それが対処されていない場合は会社にどれだけの費用がかかるかについての詳細を提供する必要があります。最後に、脆弱性の重大度とそれが会社にもたらす価値を考慮した合理的な報酬額を提案する必要があります。

すべての企業が脆弱性レポートの代金を支払う意思があるわけではなく、たとえ会社がバグバウンティプログラムを実施している場合でも、あなたの調査結果に報酬を提供するという保証はないことに注意することが重要です。さらに、会社を強要したり、違法な活動に従事しようとしないことが重要です。脆弱性を報告するときは、常に誠実で法律の範囲内で行動する必要があります。