Kit vs skrzynka security@: zgłoszenie i tak przyjdzie. Wszystko po nim robisz ręcznie.
Badacz, który o drugiej w nocy znajdzie twój błąd, już dziś ma jak do ciebie trafić: dyrektywa CISA wprost poleca adres security@, a badaczy Kit też nie przyprowadza. Tyle że wypłacenie mu nagrody mailem to łańcuch próśb: najpierw jego login w PayPalu, potem NDA, którego nigdy nie widział, potem W-8BEN, o którym nigdy nie słyszał. Każdy krok wpisujesz od zera i sam się o niego dopominasz. W Kit każda z tych rzeczy jest formularzem ze stanem, a badacz sam widzi, który go blokuje.
Kto powinien wybrać co?
Wybierz Kit, jeśli:
- Odpowiadasz audytorowi, który poprosił o medianę czasu do potwierdzenia odbioru
- Podlegasz CRA: Annex I wymaga egzekwowanej polityki ujawniania, a Annex VII dowodu na adres kontaktowy
- Udowadniasz, że obsługujesz zgłoszenia, które przychodzą, a nie polujesz na nowe; Kit nie przyprowadza społeczności badaczy
- Wyszedłeś poza kilka zgłoszeń rocznie, a duplikaty zaczynają się zderzać
- Potrzebujesz tego przed piątkiem: kupujesz sam, bez rozmowy z handlowcem
Zostaw skrzynkę, jeśli:
- Dostajesz kilka zgłoszeń rocznie i nikt z zewnątrz nie prosi o dowody
- Jesteś przed audytem, bez pozycji w budżecie i bez ochoty na nowy podmiot przetwarzający
- Nie chcesz żadnego dostawcy między zgłaszającym a twoim zespołem
- Spełniasz literę większości wymagań VDP: szablon CISA wymienia adres e-mail jako dopuszczalny kanał
- Czytasz każde zgłoszenie w dniu, w którym przyszło, i jedna osoba potrafi wymienić każdy otwarty wątek
- Próbujesz znaleźć podatności; wtedy żadna ze stron tego porównania nie jest odpowiedzią, bo potrzebujesz społeczności badaczy w rodzaju HackerOne albo Bugcrowd
W czym skrzynka ma rację
Skrzynka nie jest błędem. Własna dyrektywa CISA poleca ją z nazwy.
Nic nie kosztuje i już działa
Alias na serwerze, który już prowadzisz (Google Workspace daje do 30 na użytkownika bez dopłaty), plus szablony polityki na licencji CC0 od disclose.io na warstwę prawną. Żadnej procedury zakupowej, żadnego DPA, żadnego zgłaszania podmiotu przetwarzającego, żadnego przeglądu bezpieczeństwa dostawcy, niczego do wdrożenia.
Dlaczego to ważne: Dla firmy dostającej kilka zgłoszeń rocznie to trafne dopasowanie skali, a nie lenistwo. Narzędzie kupione, zanim pojawi się wolumen zgłoszeń, to panel bez danych.
Wyjście w każdej chwili, bez uwiązania u dostawcy
Zgłoszenia to wiadomości zgodne z RFC 5322, leżące w skrzynce, która należy do ciebie. Odczytają je IMAP, JMAP, eksport mboxa i Gmail API, a migracja polega na przestawieniu rekordu MX. Żaden dostawca nie wycofa twojego modelu danych ani nie zniknie z rynku, trzymając twoją historię ujawnień.
Dlaczego to ważne: Kit trzyma zgłoszenia we własnym schemacie i nie ma REST API; wyjściem są eksporty CSV i PDF. Skrzynka nigdy nie ma tego problemu, choć i tak nie powstaje w niej nic uporządkowanego, co dałoby się później przenieść do narzędzia.
Jedyny kanał, który każdy zgłaszający już ma
E-mail nie wymaga konta, działa z jednorazowego adresu i działa wtedy, gdy portal leży. BOD 20-01 poleca security@<domena> jako domyślny adres do rozmów o bezpieczeństwie, RFC 9116 akceptuje kontakt w formie mailto, a szablon CISA wymienia skrzynkę obok swojego formularza.
Dlaczego to ważne: Portal, który badacza irytuje, to zgłoszenie, którego nigdy nie dostaniesz. W styczniu 2026 roku curl, po prawie siedmiu latach na HackerOne, przeniósł przyjmowanie zgłoszeń na prywatne zgłaszanie w GitHubie plus [email protected]; dojrzały zespół bezpieczeństwa poszedł w stronę skrzynki.
W czym Kit jest dobry
Cztery rzeczy, których skrzynka nigdy nie przechowa, zaczynając od papierów wokół nagrody.
Papiery wokół nagrody jako formularze ze stanem
Mailem jedna wypłata to trzy osobne wątki pisane od zera. W Kit formularz danych do wypłaty pojawia się w chwili zatwierdzenia nagrody, regulamin uczestnictwa to jedno kliknięcie, po którym w zapisie zostaje dokładne brzmienie obowiązującej wtedy wersji, znacznik czasu i zaszyfrowany adres IP, a wgrany W-9 albo W-8BEN przechodzi ze statusu oczekującego w zweryfikowany albo odrzucony, przy czym odrzucenie zawsze ma podany powód. Zweryfikowane dokumenty podatkowe mają trzyletni cykl odnawiania.
Własna strona zgłoszenia mówi badaczowi, co go blokuje: regulamin, dane do wypłaty czy dokument podatkowy. Maile z dopytywaniem przestają przychodzić. Dane do wypłaty twój zespół widzi zamaskowane, bo maskowanie siedzi w samej zaszyfrowanej wartości, niezależnie od tego, który widok je pokazuje.
Jeden wyliczony następny krok, a pod nim drabinka
Panel kroków triażu wylicza dokładnie jeden bieżący krok (Przypisanie, Ocena, Decyzja, Nagroda), zablokowane kroki zostają nieaktywne, a następne działanie jest nazwane wprost na stronie. Zignoruj zgłoszenie, a trzy szczeble ruszą po kolei: przypomnienie, drugie przypomnienie, a na koniec eskalacja do administratorów, której właściciel zgłoszenia nie wyciszy. Cofnięcie statusu bez komentarza kończy się błędem, a status „Wymaga wyjaśnienia” zatrzymuje zegar potwierdzenia odbioru, więc „czekamy na badacza” i „zaraz przekroczymy termin” to dwa różne stany.
W skrzynce następny krok siedzi w głowie tego, kto ostatni czytał wątek. W Kit proces prowadzi bez nadzoru dziesięć zadań w tle; jedno sprawdza zegar potwierdzenia odbioru co 15 minut, inne co noc kontroluje spójność księgi nagród tylko do dopisywania.
Cztery komendy slash, które twój agent już zna
Kit wystawia 49 narzędzi MCP, więc cały triaż jest dostępny dla dowolnego klienta MCP, a razem z nimi przychodzą cztery prompty po stronie serwera: csirt_triage_report, csirt_assess_report, csirt_approve_bounty, csirt_write_postmortem. Pokazują się jako komendy slash i każdy z nich wymienia po kolei narzędzia do wywołania. Scenariusza nie pisze nikt z twojego zespołu. Odczytanie kolejki to dwie minuty na podłączenie klienta, a działanie na niej jest celowo zablokowane przełącznikiem zgody i uprawnieniami administratora.
Blokady stoją dokładnie tam, gdzie agent zawodzi najbardziej: maila na zewnątrz nie wyśle, dopóki administrator tego nie włączy, a domyślnie zapisuje szkic, który do nikogo nie idzie. W każdym zgłoszeniu, które agent czyta, pola wypełnione przez zgłaszającego są oznaczone jako niezaufane; to obrona przed prompt injection.
Dowody, które audytor weźmie do ręki
MTTA i MTTR liczone z zapisanych zmian stanu, eksporty CSV i PDF pod SOC 2 oraz dossier PDF dla każdego zgłoszenia. Historia pojedynczego zgłoszenia (przyjęte, potwierdzone, ocenione, rozwiązane) istnieje jako wiersze, a nie jako coś, czego trzeba szukać w wątkach mailowych.
Kwartalnych metryk z BOD 20-01, czyli mediany czasu reakcji i liczby zasadnych zgłoszeń otwartych ponad 90 dni, nie policzysz ze skrzynki, bo zdarzenia, z których się je wyprowadza, nigdy nie zostały zapisane jako dane.
Czego Kit nie ma
Cztery rzeczy, które ma skrzynka, a Kit nie. Przy każdej piszemy, co zamierzamy z tym zrobić.
Jeszcze jeden dostawca do wytłumaczenia
Wdrożenie Kit dokłada podmiot przetwarzający do twojego rejestru dostawców, powtarzalną pozycję w kosztach i jeszcze jeden system, z którego będziesz się tłumaczyć w kolejnej ankiecie bezpieczeństwa. Alias nie dokłada nic z tego, a sam Kit nie ma dziś ani SOC 2, ani ISO 27001.
Czy to dodamy? Wiersz w rejestrze dostawców to koszt każdego hostowanego narzędzia. Kontrolujemy za to wyjście: rozliczenie miesięczne, eksporty CSV i PDF, brak umowy rocznej.
Brak badaczy
VDP w Kit dostaje to, co wejdzie z security.txt i z wklejonego formularza, czyli dokładnie te same zgłoszenia co skrzynka. Bez społeczności badaczy, bez triażu po stronie dostawcy, bez usługi pentestu.
Czy to dodamy? Nie. Znajdowanie podatności to zadanie społeczności skupionej wokół programu nagród: HackerOne, Bugcrowd, Intigriti. Kit obsługuje tylko te zgłoszenia, które przyjdą.
Brak REST API
Skrzynka mówi po IMAP, JMAP, eksportuje mboxa i ma Gmail API, czyli protokoły, które już masz w swoim stosie. Kit ma narzędzia MCP i 11 zdarzeń webhookowych, a masowe wyciąganie danych idzie przez eksporty CSV i PDF.
Czy to dodamy? Nie planujemy. Utrzymujemy MCP i webhooki; jeśli potrzebujesz surowego dostępu programowego do treści każdego zgłoszenia, skrzynka już go ma.
Ani za 0$, ani bez limitu
Alias kosztuje 0$ na serwerze pocztowym, za który i tak płacisz, i nie ma limitu zgłoszeń. Przyjmowanie zgłoszeń w Kit wymaga abonamentu, próg wliczony w stanowisko kończy się na 25 zgłoszeniach miesięcznie, a zegar, księga, eksporty i własna domena rozliczają się jako osobny dodatek.
Czy to dodamy? Limit zostaje. Możemy się spierać o to, co zawiera wliczony próg (maszyna stanów, potwierdzenia, anonimowe zgłoszenia), ale nigdy o jego wolumen.
Różnice w filozofii
Te dwa rozwiązania inaczej odpowiadają na pytanie, co kanał ujawniania jest ci winien po wszystkim.
produktem jest dokumentacja
Odbieranie zgłoszeń nigdy nie było trudną częścią; skrzynka robi to za darmo. Kit istnieje na moment, w którym ktoś z zewnątrz mówi „pokaż mi”: zegar, który biegł, maszyna stanów, księga tylko do dopisywania, eksporty w kształcie audytu. Przyjmowanie zgłoszeń wchodzi w stanowisko za 29,99 zł do 25 zgłoszeń miesięcznie; pełny moduł to dodatek za 159 zł.
kanał jest procesem
E-mail to jedyny kanał, który zgłaszający już ma. Żadnego konta do założenia, jednorazowy adres wystarczy, a BOD 20-01 poleca dokładnie tę formę adresu jako domyślne miejsce na rozpoczęcie rozmowy o bezpieczeństwie. Czego skrzynka nie potrafi, to pamiętać: żadnego poziomu ważności, żadnego stanu, żadnych znaczników czasu, więc proces siedzi w głowie jednego inżyniera i w kontekście wątku.
Porównanie cen
Kit
159 zł/mies.
dodatek VDP doliczany do abonamentu Kit za 29,99 zł od stanowiska
- 72 godziny na potwierdzenie odbioru z budzeniem dyżuru przy zagrożonym terminie
- Panel MTTA i MTTR oraz eksporty CSV i PDF pod SOC 2
- Automatycznie publikowany security.txt zgodny z RFC 9116, z pilnowaniem daty ważności
- Zgłoszenia anonimowe, ocena CVSS v3.1, oznaczanie duplikatów
- Księga nagród tylko do dopisywania ze zbieraniem formularzy W-9 i W-8BEN
Skrzynka security@
0$ dodatkowo
alias na serwerze pocztowym, za który i tak płacisz
- Do 30 darmowych aliasów na użytkownika w Google Workspace
- Bez limitu zgłoszeń, bez limitu stanowisk, bez procedury zakupowej
- Szablony polityki i safe harbor na licencji CC0 od disclose.io
- Praca przy triażu poza budżetem: curl podaje 3–4 osoby na zgłoszenie i od 30 minut do kilku godzin każda
- Bez zegara potwierdzenia odbioru i bez dokumentacji dowodowej
Porównanie cen
Na cenie skrzynka wygrywa raz na zawsze: nic nie płacisz, nie masz limitu zgłoszeń ani dostawcy. Przyjmowanie zgłoszeń w Kit wchodzi w stanowisko za 29,99 zł do 25 zgłoszeń miesięcznie, a zegar, księga, eksporty i własna domena to dodatek za 159 zł. Kupujesz tym nie odbieranie zgłoszeń, tylko dowód na to, co stało się dalej.
Przechodzisz ze skrzynki security@?
Pokochasz Kit, jeśli:
- Audytor poprosił o medianę czasu do potwierdzenia odbioru, a odpowiedź siedzi w wątkach mailowych
- Twój security.txt wygasł i nikt tego nie zauważył; w skanie z 2026 roku dotyczyło to 7,3% znalezionych plików
- Dwoje badaczy zgłosiło ten sam błąd, a wątki nigdy się nie spotkały
- Ręcznie przebierasz w zrzutach ze skanerów i śmieciach AI; Kit prześwietla każde zgłoszenie po 12 sygnałach, zanim przeczyta je człowiek
- Podlegasz CRA, a Annex VII chce w dokumentacji technicznej dowodu na twój kontakt zgłoszeniowy
Zostań przy skrzynce, jeśli:
- Dostajesz kilka zgłoszeń rocznie i nikt z zewnątrz nie prosił cię o dowody
- Nie masz pozycji w budżecie ani ochoty na kolejny podmiot przetwarzający
- Nie chcesz żadnego dostawcy między zgłaszającym a twoim zespołem
- Ufasz precedensowi: w styczniu 2026 roku curl przeniósł przyjmowanie zgłoszeń na prywatne zgłaszanie w GitHubie plus [email protected]
Przenoszenie danych: Poczta eksportuje się bezbłędnie: mbox, IMAP, Takeout, zmiana rekordu MX. Nic uporządkowanego z tym nie wyjedzie, więc do żadnego narzędzia nie przeniesiesz później historii pojedynczych zgłoszeń. Wyjściem z Kit są eksporty CSV i PDF oraz dossier PDF.
Przetestuj Kit za darmo przez 30 dni.
Kupujesz sam, bez zobowiązania rocznego, z rezygnacją w dowolnym momencie w ciągu pierwszych 30 dni. Handlowiec nie zadzwoni ani teraz, ani potem.
$49€49159 zł£39 miesięcznie, doliczane do stanowiska w Kit
Wypróbuj za darmo