Un bug bounty program è un'iniziativa di sicurezza in cui un'organizzazione paga ricercatori indipendenti per segnalare in modo responsabile vulnerabilità valide. Invece di aspettare che siano gli aggressori a trovare per primi le falle, l'organizzazione invita a effettuare test controllati secondo un insieme di regole, ambiti e criteri di ricompensa. Le segnalazioni vengono di solito esaminate, verificate e retribuite in base alla gravità e alla qualità.
I bug bounty program sono importanti perché trasformano la ricerca esterna sulla sicurezza in un controllo difensivo. Possono individuare problemi come bypass dell'autenticazione, bug di injection, segreti esposti e controlli di accesso non corretti prima che i criminali li sfruttino. In pratica, le piattaforme usano flussi di invio, sistemi di reputazione e talvolta la verifica dell'identità per ridurre gli abusi, prevenire pagamenti fraudolenti e decidere chi può inviare segnalazioni o ricevere ricompense. Per i ricercatori, il requisito principale è la divulgazione responsabile: fornire abbastanza dettagli per la correzione senza causare danni inutili.