Bug Bounty per Principianti 2026: Come Iniziare da Zero e Guadagnare

Il bug bounty è un programma con cui le aziende pagano ricompense in denaro a chi scopre vulnerabilità nei loro sistemi — in modo legale, documentato e riconosciuto. È il modo più concreto per applicare le competenze di sicurezza informatica su sistemi reali e guadagnare allo stesso tempo.

I numeri parlano chiaro: oltre un miliardo di dollari sono stati pagati come ricompense attraverso HackerOne dalla sua fondazione. Le opportunità esistono — la domanda è come raggiungerle.

Come funziona il bug bounty

Un'azienda pubblica un programma di bug bounty. In un documento ufficiale definisce: quali sistemi possono essere testati (lo scope), quali tipi di vulnerabilità cerca e quanto paga per ogni livello di gravità.

Tu testi, trovi una vulnerabilità, scrivi un report dettagliato e lo invii. L'azienda verifica, riconosce il problema e paga.

Programmi pubblici vs privati

Programmi pubblici: Aperti a tutti. Più competizione, ma più facili per iniziare. La maggior parte dei programmi su HackerOne e Bugcrowd è pubblica.

Programmi privati: Solo su invito. Si ottengono costruendo reputazione nei programmi pubblici. Le ricompense sono generalmente più alte e la concorrenza minore.

Livelli di gravità e ricompense tipiche

Livello	Esempi	Ricompensa tipica
Critical	RCE, SQLi in produzione	5.000–100.000€+
High	IDOR ad alto impatto, Auth Bypass	1.000–10.000€
Medium	Stored XSS, SSRF, Privilege Escalation	200–2.000€
Low	Information Disclosure, Open Redirect	50–500€
Informational	Problema minore	Di solito nessuna ricompensa

Competenze necessarie prima di iniziare

Il bug bounty non è il punto di partenza — è il passo successivo. Prima di aprire qualsiasi programma, assicurati di avere:

Fondamenti imprescindibili

• HTTP/HTTPS e come funzionano le applicazioni web — richieste, risposte, cookie, sessioni, header
• OWASP Top 10 — SQL injection, XSS, IDOR, SSRF, misconfigurazione: devi conoscerli tutti
• Burp Suite — il proxy di base per intercettare e manipolare il traffico (vedi la nostra guida Burp Suite)
• Programmazione base — JavaScript lato client, Python per automatizzare, lettura di codice PHP/Java

Come costruire queste competenze

1. TryHackMe (guida) — percorso "Web Fundamentals" e "Jr Penetration Tester"
2. PortSwigger Web Security Academy — gratuita, la migliore risorsa per vulnerabilità web
3. HackTheBox (guida) — macchine ritirate con writeup disponibili
4. CTF (guida ai CTF) — esercitazioni pratiche in ambiente sicuro

Le piattaforme principali

HackerOne

La più grande piattaforma al mondo. Ospita programmi di Google, Microsoft, Apple, U.S. Department of Defense. Il sistema di reputazione (H1 score) determina l'accesso ai programmi privati. Ideale per iniziare.

Bugcrowd

Forte negli Stati Uniti, competitiva nei programmi enterprise. Sistema di reputazione con punti. Buona per chi vuole varietà di target.

Intigriti

La piattaforma più forte in Europa. Collabora con aziende belghe, francesi, olandesi e italiane. Ottima scelta se stai puntando al mercato europeo. Alcune aziende italiane hanno programmi qui.

Programmi diretti di aziende italiane

• TIM ha un programma di vulnerability disclosure
• Enel ha un programma di responsible disclosure
• Alcune banche italiane (Intesa, Unicredit) hanno contatti per segnalazioni

⚠️ Nota legale italiana: L'art. 615-ter del Codice Penale punisce l'accesso abusivo a sistemi informatici. Testa solo sistemi esplicitamente inclusi nello scope del programma. Il safe harbor vale solo con autorizzazione scritta del proprietario.

Come trovare la tua prima vulnerabilità

Metodologia per principianti

1. Scegli un programma con scope ampio — cerca programmi con wildcard (*.esempio.com) o che accettano molti tipi di vulnerabilità
2. Mappa l'applicazione — esplora manualmente ogni funzione: registrazione, login, cambio password, upload file, ricerca
3. Intercetta tutto con Burp Suite — ogni richiesta che fai passa per il proxy
4. Cerca le basi — IDOR (cambia ID nella richiesta), XSS (inserisci <script>alert(1)</script> nei campi), SSRF, misconfigurazione CORS
5. Cerca funzionalità dimenticate — API vecchie (/api/v1/), endpoint non documentati, parametri nascosti

Le vulnerabilità più comuni per chi inizia

• IDOR (Insecure Direct Object Reference): Cambia user_id=123 con user_id=124 e accedi ai dati altrui
• Reflected XSS: Inserisci codice JavaScript nei parametri dell'URL
• Open Redirect: https://esempio.com/redirect?url=https://attacker.com
• Misconfigurazione CORS: L'API accetta richieste da origini arbitrarie
• Information Disclosure: Messaggi di errore che rivelano path, versioni, struttura del DB

Come scrivere un report vincente

Un buon report aumenta la probabilità di accettazione e della taglia più alta. Include sempre:

1. Titolo chiaro: [IDOR] Accesso non autorizzato ai documenti di altri utenti via /api/documents/{id}
2. Descrizione: Spiega il problema in modo chiaro e conciso
3. Impatto: Cosa può fare un attaccante? Quanti utenti sono colpiti?
4. Passaggi per riprodurre: Numerati, precisi, con screenshot/video
5. Prova di concetto (PoC): Una richiesta Burp Suite catturata, un breve script Python
6. Raccomandazione di fix: Dimostra che capisci il problema

Guadagni realistici

Livello	Esperienza	Guadagno mensile stimato
Principiante	0-6 mesi	0–300€ (pochi report)
Intermedio	6-18 mesi	500–3.000€
Avanzato	2-4 anni	3.000–15.000€
Élite	4+ anni	15.000€+

La maggior parte dei bug hunter italiani tratta il bug bounty come reddito supplementare accanto a un lavoro nella sicurezza. Con un buon stipendio base da analista (28-48k€) più il bug bounty, si può arrivare a redditi molto competitivi.

Prossimi passi

1. Crea un account su HackerOne e Bugcrowd
2. Completa il percorso "Web Fundamentals" su TryHackMe
3. Studia la PortSwigger Web Security Academy (gratis)
4. Scegli un programma con scope ampio e inizia a esplorare
5. Invia il tuo primo report — anche se non porta una ricompensa, costruisce esperienza

Il bug bounty richiede pazienza. I primi mesi servono per imparare, non per guadagnare. Chi persiste e studia sistematicamente trova le vulnerabilità — è solo questione di tempo.

Esplora i corsi gratuiti di Pentevo Academy per costruire le basi di ethical hacking che ti serviranno per il bug bounty.