Platform kolaborasi coding milik Microsoft, GitHub, mengonfirmasi rencana besar untuk mengubah sistem program bug bounty mereka menjadi skema dua tingkat. Kebijakan baru ini mulai berlaku secara resmi untuk seluruh laporan yang dikirimkan pada atau setelah tanggal 27 Juli 2026.
Related Stories
Suka dengan Artikel Ini?
Dapatkan lebih banyak cerita menarik dengan berlangganan newsletter kami. Gratis!
Subscribe →Melalui skema terbaru ini, GitHub membagi layaknya program publik dengan bayaran lebih rendah yang terbuka bagi komunitas riset luas, serta program khusus undangan dengan bayaran yang jauh lebih tinggi bagi para periset terpilih.
Product Security Engineer di GitHub, Catherine Cassell, menjelaskan bahwa perubahan kebijakan ini terpaksa diambil sebagai respons atas membludaknya tumpukan laporan keamanan berkualitas rendah serta laporan yang dibuat menggunakan kecerdasan buatan atau AI.
Dalam program publik yang baru, GitHub menghapus sistem rentang pembayaran lama dan menggantinya dengan tarif tetap berdasarkan tingkat keparahan bug. Nominal yang ditetapkan berkisar mulai dari 250 dolar AS untuk kategori rendah, 2.000 dolar AS untuk kategori menengah, 5.000 dolar AS untuk kategori tinggi, hingga 10.000 dolar AS untuk kategori kritis.
Catherine Cassell menyebutkan bahwa sistem tarif tetap ini dirancang agar para periset dapat mengetahui secara pasti nilai dari temuan valid mereka sebelumnya. Selain itu, cara ini dapat meringankan beban internal perusahaan dalam menentukan besaran nominal bayaran dalam suatu rentang.
Meskipun demikian, nominal bayaran pada program publik ini tercatat jauh lebih rendah jika dibandingkan dengan aturan sebelumnya. Pada aturan lama, rentang pembayaran bervariasi mulai dari 500 hingga 1.000 dolar AS untuk tingkat rendah, hingga mencapai 10.000 sampai 30.000 dolar AS untuk tingkat kritis.
Sebagai gantinya, para periset VIP yang diundang khusus dalam skema kedua berhak mendapatkan bayaran sekitar tiga hingga empat kali lipat lebih besar dibandingkan periset di program publik, bergantung pada tingkat keparahan celah keamanan yang ditemukan.
Selain penyesuaian nominal, GitHub turut memberlakukan persyaratan sinyal HackerOne bagi para periset baru. Mereka diberikan empat kesempatan untuk membangun rekam jejak yang jelas sebagai langkah antisipasi tambahan terhadap lonjakan laporan otomatis buatan AI yang bernilai rendah.
"Kami ingin membangun program yang menarik riset berkualitas tinggi, menciptakan pengalaman yang serius, serta menjaga kepercayaan para periset yang selalu diandalkan setiap kali mengirimkan laporan keamanan," tutup Cassell.