Znajdź błąd. Zgłoś go. Zgarnij nagrodę.
W KociakMC wypłacamy prawdziwe pieniądze lub przyznajemy vouchery do naszego sklepu za poprawne, potwierdzone zgłoszenia błędów. Znalazłeś problem w grze, na stronie lub w sklepie? Opisz go i zgłoś prywatnie — pomóż nam go naprawić i zdobądź nagrodę.
Co możesz otrzymać?
Nagrodę pieniężną lub voucher do sklepu KociakMC. Formę i wysokość nagrody ustalamy indywidualnie po weryfikacji zgłoszenia. Bierzemy pod uwagę znaczenie błędu, jego wpływ na graczy i jakość opisu. Szczegóły przekazujemy prywatnie osobie zgłaszającej.
Kiedy zgłoszenie kwalifikuje się do nagrody?
- Dotyczy rzeczywistego, wcześniej nieznanego nam błędu, który możemy potwierdzić.
- Zawiera jasny opis, kroki odtworzenia oraz dowód, np. zrzut ekranu lub nagranie.
- Jest zgłoszone prywatnie, zgodnie z zasadami programu i bez wyrządzania szkód.
Jeśli ten sam błąd zgłosi kilka osób, nagrodę przyznajemy za pierwsze poprawne zgłoszenie. Samo wysłanie raportu nie oznacza jego akceptacji — najpierw sprawdzamy problem.
Co możesz zgłaszać
- Błędy rozgrywki, pluginów i mechanik KociakMC, np. duplikowanie przedmiotów, obchodzenie zabezpieczeń działek lub nieprawidłowe naliczanie nagród.
- SQL injection, XSS, SSRF, RCE, LFI/RFI, obejście autoryzacji lub dostępu.
- Wycieki sekretów, tokenów, webhooków, danych płatności lub danych graczy.
- Błędy w logice płatności, koszyka, kuponów, statusu transakcji lub paneli administracyjnych.
- Publicznie dostępne pliki, backupy, logi, cache, dokumentacje lub katalogi, które nie powinny być widoczne.
Czego nie wolno robić
- Nie wykonuj DDoS, stress testów, brute force ani skanowania, które obciąża serwer.
- Nie kradnij, nie zmieniaj i nie publikuj danych graczy, transakcji, tokenów ani konfiguracji.
- Nie próbuj finalizować fałszywych płatności ani wywoływać realnych skutków ekonomicznych.
- Nie eskaluj testu dalej, jeśli masz już minimalny dowód podatności.
Zakres programu
- W zakresie: serwer Minecraft KociakMC i jego mechaniki, kociakmc.pl, strony sklepu, koszyk, status płatności i formularze. Testuj tylko na własnym koncie i bez szkody dla graczy.
- Warunkowo: publiczne subdomeny KociakMC.pl, jeśli test nie obciąża usług i nie dotyka cudzych danych.
- Poza zakresem: ataki socjotechniczne, phishing, spam, fizyczny dostęp, prywatne konta graczy i Discord użytkowników.
Co wysłać w raporcie
- Nick w grze, tryb serwera lub adres strony oraz krótki opis błędu i jego skutków.
- Kroki odtworzenia, najlepiej minimalne i bez realnej szkody.
- Zrzuty ekranu, odpowiedzi HTTP lub proof of concept bez sekretów innych osób.
- Propozycję naprawy, jeśli ją masz, oraz nick/kontakt do podziękowania.
Masz błąd do zgłoszenia? Napisz prywatnie.
Wyślij opis błędu mailem z tematem [BUG BOUNTY] KociakMC. Jeśli wolisz Discord, otwórz prywatne zgłoszenie do administracji i zaznacz, że chodzi o Bug Bounty. Nie publikuj instrukcji wykorzystania błędu na publicznych kanałach.