Bug bounty adalah program resmi di mana sebuah organisasi mengundang peneliti keamanan untuk menemukan dan melaporkan kerentanan pada sistemnya, lalu memberi imbalan atas laporan yang valid. Skema ini mengubah hubungan antara perusahaan dan peretas etis menjadi kerja sama yang diatur aturan, ruang lingkup, dan jaminan hukum yang jelas.
Apa Itu Bug Bounty?
Dokumentasi HackerOne, salah satu platform terbesar di bidang ini, menjelaskan bahwa bug bounty menawarkan pembayaran kepada pihak luar yang menemukan kerentanan dan melaporkannya langsung kepada perusahaan. Orang yang berpartisipasi disebut bug hunter atau security researcher. Bedakan keduanya dengan jelas: bug bounty adalah programnya, bug hunter adalah orangnya.
Alasan organisasi membukanya sederhana. Tim internal punya jumlah mata yang terbatas, sedangkan komunitas peneliti punya beragam keahlian dan sudut pandang. Dengan imbalan yang hanya dibayar untuk temuan valid, organisasi mendapat tambahan kapasitas pengujian tanpa harus membayar waktu yang tidak menghasilkan temuan.
Jenis Program: Bug Bounty, VDP, Publik, dan Privat
Bug bounty dan vulnerability disclosure program (VDP)
HackerOne membedakan keduanya dari insentifnya. Bug bounty membayar imbalan uang untuk laporan valid. VDP, atau kebijakan pengungkapan kerentanan, menjelaskan bagaimana organisasi ingin menerima laporan dari pihak luar dan biasanya memberi ucapan terima kasih dan pengakuan, bukan uang. Dua komponen penting VDP adalah ruang lingkup, yaitu aset dan jenis kerentanan apa yang boleh diuji, serta safe harbor, yaitu pernyataan bahwa organisasi tidak akan menindak secara hukum peneliti yang bertindak sesuai aturan.
Program publik dan privat
- Publik: terbuka bagi siapa pun yang memenuhi syarat. Cakupan peneliti lebih luas, tetapi laporan yang masuk juga lebih banyak.
- Privat: hanya untuk peneliti yang diundang. Cocok untuk aset sensitif, produk yang belum diluncurkan, atau organisasi yang baru belajar mengelola laporan pihak luar.
Bagaimana Cara Kerja Program Bug Bounty?
- Organisasi menetapkan aturan: aset yang masuk dan di luar ruang lingkup, jenis pengujian yang dilarang (misalnya yang mengganggu layanan), serta kisaran imbalan.
- Peneliti menguji dalam batas aturan dan menyusun laporan yang menjelaskan masalah, dampaknya, dan cara mereproduksinya.
- Triase dan validasi: tim organisasi atau tim triase platform memeriksa apakah laporan valid, masuk ruang lingkup, dan bukan duplikat.
- Penilaian dan imbalan: HackerOne mencatat bahwa sebagian besar program mengaitkan imbalan dengan tingkat keparahan temuan yang sudah divalidasi. Semakin besar dampaknya, semakin besar imbalannya.
- Perbaikan dan pengujian ulang: organisasi menambal celah, lalu memastikan perbaikannya berhasil. Laporan kemudian dapat diungkap sesuai kebijakan program.
Platform pihak ketiga seperti HackerOne, Bugcrowd, Intigriti, dan YesWeHack menyediakan infrastruktur tersebut: tempat mengirim laporan, triase, pembayaran, dan reputasi peneliti. Sebagian perusahaan besar juga menjalankan programnya sendiri, misalnya Google Vulnerability Reward Program.
Seberapa Besar Skala Bug Bounty di Dunia?
Laporan tahunan HackerOne, sebagaimana diberitakan BleepingComputer pada Oktober 2025, mencatat bahwa program bug bounty di platform itu membayar total sekitar 81 juta dolar AS dalam periode 1 Juli 2024 sampai 30 Juni 2025, naik 13 persen dari tahun sebelumnya. Platform tersebut mengelola lebih dari 1.950 program. Di sisi lain, Google melaporkan membayar sekitar 17,1 juta dolar AS kepada 747 peneliti sepanjang 2025, dengan imbalan tunggal tertinggi 250.000 dolar AS. Angka-angka ini menunjukkan bahwa bug bounty sudah menjadi bagian arus utama keamanan, tetapi pembayarannya sangat terkonsentrasi pada program dan peneliti tertentu. Pembahasan penghasilan secara realistis ada di gaji bug hunter dan alasan laporan bug bisa tidak dibayar.
Bug Bounty di Indonesia dan Aspek Hukumnya
Di Indonesia, pengujian tanpa izin tetap berisiko hukum. Pasal 332 KUHP melarang mengakses komputer dan/atau sistem elektronik milik orang lain tanpa hak atau melawan hukum (UU Nomor 1 Tahun 2023), ketentuan yang sebelumnya ada di Pasal 30 UU ITE. Karena itu, peneliti sebaiknya hanya menguji aset yang jelas tercantum dalam ruang lingkup sebuah program dan memahami ketentuan safe harbor-nya. Badan Siber dan Sandi Negara (BSSN) memiliki VVIP Program, yang mengajak peserta mencari kerentanan dan membantu penyelenggara sistem elektronik melindungi sistemnya. Pembahasan cara melapor dengan benar ada di responsible disclosure: cara melaporkan kerentanan dengan benar.
Manfaat dan Batasan Bug Bounty
Manfaat bagi organisasi
- Menemukan celah yang terlewat oleh pengujian internal.
- Biaya mengikuti hasil: imbalan dibayar untuk temuan valid.
- Membangun hubungan baik dengan komunitas keamanan.
Manfaat bagi peneliti
- Latihan pada sistem nyata dengan izin resmi.
- Imbalan, reputasi, dan portofolio yang bisa dilihat calon pemberi kerja.
Batasan yang perlu disadari
- Bukan pengganti pentest terstruktur. Peneliti bebas memilih fokus, sehingga cakupannya tidak selalu merata. Perbandingan pendekatannya ada di apa itu penetration testing.
- Organisasi harus siap mengelola laporan: triase, komunikasi, dan perbaikan yang cepat.
- Imbalan tidak dijamin. Laporan duplikat, di luar ruang lingkup, atau tanpa dampak yang terbukti dapat tidak dibayar.
Gambaran Alur Satu Laporan
Agar lebih konkret, bayangkan seorang peneliti menemukan bahwa sebuah fitur pada aplikasi yang ada dalam ruang lingkup program ternyata menampilkan data pengguna lain. Ia berhenti menguji begitu masalahnya terbukti, tidak mengunduh data apa pun di luar bukti minimum, dan mengirim laporan melalui platform program. Tim triase memeriksa apakah laporan itu valid dan belum pernah dilaporkan. Jika valid, tim internal menetapkan tingkat keparahan, memperbaiki celah, dan membayar imbalan sesuai tabel program. Peneliti kemudian dapat mengonfirmasi bahwa perbaikannya berhasil. Seluruh komunikasi berjalan tertutup sampai perbaikan selesai.
Pertanyaan yang Sering Diajukan
Apakah bug bounty legal?
Legal selama dilakukan dalam ruang lingkup dan aturan program yang resmi. Menguji aset di luar ruang lingkup, atau di perusahaan yang tidak punya program, tetap dapat melanggar hukum.
Apakah bug bounty selalu dibayar dengan uang?
Tidak. Sebagian program berupa VDP yang hanya memberi pengakuan, dan sebagian memberi poin reputasi atau hadiah lain.
Siapa yang boleh ikut bug bounty?
Program publik umumnya terbuka bagi siapa pun yang memenuhi syarat platform dan hukum setempat, sedangkan program privat memerlukan undangan.
Bagaimana pemula memulainya?
Mulailah dengan dasar web security dan latihan di lab legal, kemudian pilih program dengan ruang lingkup yang jelas. Panduan bertahapnya ada di cara menjadi bug hunter untuk pemula.
Kesimpulan
Bug bounty adalah kerja sama yang diatur antara organisasi dan peneliti keamanan, dengan ruang lingkup, aturan, dan imbalan yang disepakati sejak awal. Jika Anda ingin membangun dasar yang kuat sebelum berburu kerentanan, pelajari materi keamanan aplikasi melalui kursus di Linuxhackingid.
Referensi: HackerOne: VDP vs BBP, HackerOne: cara kerja bug bounty, dan BleepingComputer tentang laporan HackerOne.
Setiap artikel ditinjau pimpinan praktik yang menangani pekerjaannya sebelum terbit.