Caça a bounties no GitHub: como funciona
As buscas por «bounty hunter GitHub» misturam duas coisas diferentes: caçar falhas de segurança para empresas e caçar issues financiadas em repositórios open source. Este guia trata da segunda.
Bounties de issues versus bug bounty
Caçar bounties de issues é resolver uma issue financiada do GitHub (uma função, uma correção, uma refatoração) e receber quando o pull request é mesclado. O bug bounty é reportar vulnerabilidades a um programa de empresa. O primeiro exige programar num repositório específico; o segundo, habilidades de segurança.
Um fluxo que funciona
1) Busque issues financiadas em várias plataformas. 2) Descarte honeypots, repositórios arquivados e issues que já têm pull request concorrente. 3) Prefira issues recentes numa stack que você conhece. 4) Leia o guia de contribuição e a discussão da issue. 5) Reivindique como a plataforma exige. 6) Envie um pull request pequeno e testado que referencie a issue. 7) Guarde o link do PR mesclado para o pagamento.
Por que a maioria não vale a pena
Das 290 bounties abertas e verificadas em 20/09/2026, 207 eram de menos de US$ 50 e 238 já tinham ao menos um pull request concorrente. A velocidade importa: as melhores são as publicadas no último dia ou dois, por isso o BountyOS tem modo sniper e atualiza a cada hora. Veja o que está aberto no radar.
Riscos a considerar
Alguns anúncios são spam ou têm valores inflados, alguns financiadores nunca aprovam e as condições de pagamento variam por plataforma. Trabalhe só quando o pagamento estiver confirmado e a issue realmente aberta.
FAQ
O que é caçar bounties no GitHub? Encontrar issues financiadas, resolvê-las com um pull request e receber quando é mesclado.
É o mesmo que bug bounty? Não. O bug bounty premia vulnerabilidades em programas de empresas; as bounties de issues premiam código mesclado em repositórios open source.
Como começar? Escolha uma plataforma como Algora ou Opire, pegue uma issue recente sem pull request concorrente numa stack que você conhece e envie um PR pequeno e bem testado.
Veja também: Radar de bounties · Como resgatar uma bounty da Algora