NordVPN Bug Bounty：回報、獎勵與披露條件

NordVPN Bug Bounty 是甚麼？NordVPN 官方介紹頁列出漏洞獎勵計劃，連結指向 HackerOne 上的 Nord Security 計劃。對香港、台灣用戶而言，這項資訊有助理解品牌怎樣接收安全研究，但不能單靠「有獎勵」就推論所有問題都會獲款，或產品從此沒有漏洞。

本文依據官方入口與 HackerOne 文件，解釋回報、獎勵和公開披露三個層次。核對時未能讀取 Nord Security 計劃的完整現行政策，因此不列未確認的獎金、資產清單或特定測試許可；參與前仍應讀取該計劃當時公布的條件。

先確認官方入口與計劃名稱

從品牌官方頁面出發，可避免把名稱相似的第三方頁面當成指定回報入口。這次官方連結是Nord Security 的 HackerOne 計劃，不能自行改寫成只涵蓋 NordVPN 的單一產品計劃，也不能由集團名稱推斷旗下所有產品和網站都在範圍內。

閱讀時可記下入口、計劃名稱、政策日期與實際看見的範圍。若某頁尚未能載入，該部分就是待確認資料。舊新聞的獎金上限與今天的規則屬於不同證據，不應混成一張「現在必定適用」的表格。

HackerOne 的 Scope 文件分開列出 Eligibility for Submission 與 Eligibility for Bounty，亦設有資產識別及個別指示。前者描述是否接受該資產的報告，後者描述是否屬於獎勵資格；兩個欄位並非同義。

例如一個計劃願意接受某項報告，不代表該項必定有金錢獎勵。整理資料時，把三個答案寫在不同欄，會比只抄「歡迎回報」一句更完整。本文的表格是閱讀框架，不是 Nord Security 現行資產名單。

HackerOne 的報告文件要求描述潛在問題、重現步驟與可能影響，並可附上合適證據。這些內容把「我覺得不安全」轉成接收者能理解的發現，而不是靠截圖數量或強烈字眼提高可信度。

對使用 Mac 的讀者，應先分清畫面異常、一般連線問題與可能涉及安全邊界的現象。只寫「無法登入」很難判斷類別；記下發生時間、操作前後狀態與應用程式版本，會讓後續討論更具體。可參考NordVPN Mac 版本查看文章整理環境資料。

證據應與聲稱相稱：如果只觀察到自己的畫面，就描述那個畫面；沒有確認其他人的資料或權限，便不要把影響擴寫成已證明的外洩。一般帳戶與使用問題亦應按官方支援渠道處理，避免把所有故障都當成獎勵申請。

上述文件指出，自 2026 年 9 月 21 日起，對要求嚴重程度的計劃，提交時需要選擇 Severity；選擇不要求此欄位的計劃仍可例外。這是 HackerOne 的平台說明，本文沒有據此斷言 Nord Security 的當前設定。

讀到更新消息時，保留「哪些計劃適用」這個條件，比只轉述「全部都必填」準確。自己選填的嚴重程度，也不應寫成已獲安全團隊確認；提交者的判斷與接收方的評估仍是兩件事。

HackerOne 披露準則現行版本為 1.3，於 2026 年 7 月 27 日更新。它說明報告起初非公開，之後的披露取決於個別設定與政策；報告也不應包含第三者個人識別資料。收到回覆、報告關閉或獲獎，都不能單獨代替核對披露條件。

若想寫技術分享，先確認哪些部分可公開，再整理經遮蔽的圖片。移除電郵、密碼、驗證碼、存取憑證與私人裝置名稱；完整 IP 宜遮住，部分遮蔽亦至少遮八成。保留判斷必要的步驟與狀態即可，毋須用真實身分資料增添說服力。

它可作為品牌設有安全研究入口的證據；閱讀時仍要問入口是否官方、規則是否可查，以及報告與披露如何處理。不能由單一計劃名稱計算產品的全部安全程度，也不應將獎勵數字當作個人使用的保障額。

要比較其他證據，可另外閱讀NordVPN 無日誌審計分析。漏洞計劃著重接收發現與處理流程，審計則應按指定日期、範圍和結論閱讀；把兩者並列，可以看清各自回答的問題。

對港台讀者整理品牌比較表時，可將「官方入口已確認」與「詳細政策仍待讀取」同時記錄。資料缺口應留在表內，而不是用其他品牌的規則補上；往後取得新資料，才更新相應欄位。

不能作此承諾。HackerOne 文件區分回報與獎勵資格，準則亦說明獎勵由安全團隊決定。仍需核對指定計劃的政策與報告判斷。

日常用戶可以把它當作理解安全制度的資訊。是否參與研究是另一個決定，應先確認現行範圍與條件；這篇沒有進行漏洞測試或提交報告。

來源核對日期：2026 年 10 月 5 日。特色圖片為研究回報概念插畫，並非實際漏洞或報告畫面。