Bug bounty itu salah satu jalur paling nyata buat orang Indonesia dapat penghasilan dari skill security — tanpa butuh ijazah, tanpa interview, bayaran dalam dolar. Gue udah ngikutin scene ini beberapa tahun, dan yang bikin gemes adalah internet penuh konten “cara cepat kaya dari bug bounty” yang nggak realistis. Ada yang jual mimpi $10.000 per bulan ke pemula yang bahkan belum ngerti apa itu IDOR.
Artikel ini ngasih gambaran jujur: dari mana mulai, cara terima duit, urusan pajak, dan ekspektasi yang masuk akal. Nggak ada janji kosong — cuma peta jalan yang realistis buat kamu yang di Indonesia dan mau serius.
Ekspektasi dulu, biar nggak kecewa
Bug bounty bukan penghasilan instan. Hunter pemula bisa butuh berminggu-minggu sampai berbulan-bulan sebelum report pertama yang dibayar. Ini yang kejadian pas orang nggak dikasih tau duluan: mereka submit 5 report minggu pertama, semua kena N/A, terus nyerah di minggu kedua sambil ngatain bug bounty “scam”.
Timeline di program besar seperti Shopify saja 15–47 hari dari triage ke keputusan bounty. Jadi ini maraton, bukan sprint. Kalau kamu butuh duit buat bayar kontrakan bulan depan, bug bounty bukan jawabannya — cari kerja dulu, bug bounty sebagai jalur jangka panjang.
Tapi kabar baiknya ada tiga, dan ini nyata:
- Skill-nya transferable. Apa yang kamu pelajari di bug bounty langsung kepake di pentest, AppSec, red team. Banyak security engineer gaji 2 digit juta mulainya dari bug bounty.
- Modalnya minim. Laptop + internet. Nggak ada yang lain. Nggak perlu beli tool mahal (malah banyak program melarang scanner komersial).
- Ceiling-nya tinggi. Satu account takeover (ATO) di Shopify pernah dibayar $37.500 (report #791775). Itu lebih dari Rp 580 juta dari satu bug.
| Realita | Yang sering dijual di internet |
|---|---|
| Report pertama bisa butuh 1–3 bulan | “Dapat $500 di minggu pertama!” |
| Mayoritas report pemula kena N/A | “Tinggal scan, submit, cuan” |
| Payout besar = kompetisi brutal | “ATO gampang kok” |
| Butuh baca disclosed report berjam-jam | “Ada tool auto-hunt” |
Langkah 1 — Pilih platform
Tiga platform besar: HackerOne, Bugcrowd, dan Intigriti. Buat pemula Indonesia, gue sarankan HackerOne karena program-nya paling banyak, dokumentasinya rapi, dan payout-nya mendukung banyak negara termasuk Indonesia.
| Platform | Kelebihan | Catatan buat hunter Indonesia |
|---|---|---|
| HackerOne | Program terbanyak, dokumentasi rapi, email alias @wearehackerone.com | Payout via PayPal/Payoneer/crypto. Paling direkomendasikan buat mulai |
| Bugcrowd | Banyak program enterprise US | Beberapa program butuh reputation dulu |
| Intigriti | Kuat di program Eropa | Komunitas lebih kecil, cocok setelah punya pengalaman |
Pahami bahwa akun baru punya keterbatasan (trial report, sistem signal). Sebelum submit apa pun, baca HackerOne Trial Reports: Cara Gak Buang 6 Kesempatan supaya kamu nggak buang kesempatan awal untuk hal yang pasti N/A. Ini serius — signal yang rusak di awal susah banget dibenerin.
Langkah 2 — Pilih program yang ramah pemula
Jangan mulai di program yang scope-nya vague atau yang bug low-hanging-nya udah habis total. Kriteria program ramah pemula:
- Dokumentasi scope jelas (ada criteria, FAQ, Known Issues).
- Boleh testing di environment sendiri (dev store/test account).
- Ada precedent payout yang transparan (kamu bisa lihat disclosed report).
Shopify memenuhi semua ini. Kamu bisa bikin dev store gratis dan testing tanpa menyentuh data orang lain — langkahnya ada di Setup Shopify Dev Store untuk Security Testing. Mulai dari kategori yang peluang accepted-nya tinggi seperti staff permission boundary; detailnya di Cara Dapat Bug Pertama di Shopify HackerOne.
Langkah 3 — Cara terima payout dari Indonesia
Ini pertanyaan nomor satu dari hunter Indonesia: “kalau dapat bounty, duitnya masuk ke mana?” HackerOne membayar lewat beberapa metode. Yang umum dipakai hunter Indonesia:
| Metode | Kecepatan | Fee | Catatan |
|---|---|---|---|
| PayPal | Cepat | Fee konversi + kurs PayPal (biasanya di bawah kurs tengah) | Paling gampang untuk mulai. Pastikan akun verified |
| Payoneer | 1–2 hari kerja | Lebih hemat untuk nominal besar | Dapat virtual US bank account, bisa withdraw ke rekening lokal |
| Coinbase / crypto | Menit | Gas fee jaringan | Cepat, tapi tetap kena KYC exchange saat cairkan ke rupiah |
Langkah praktis setup PayPal (metode paling umum):
- Buat akun PayPal dengan data asli, verifikasi email dan nomor HP.
- Tautkan rekening bank lokal atau kartu untuk verifikasi identitas.
- Di HackerOne, buka Settings → Payouts, pilih PayPal, masukkan email PayPal kamu.
- Set threshold payout (misal otomatis cairkan tiap saldo ≥ $50).
Tips penting: catat kurs saat payout masuk. Itu angka yang kamu butuhkan untuk pelaporan pajak nanti. Gue saranin bikin spreadsheet sederhana: tanggal, report ID, nominal USD, kurs hari itu, nominal rupiah. Lima menit sekarang, nyelametin kamu dari pusing pas lapor SPT.
Langkah 4 — Urusan pajak (jangan diabaikan)
Penghasilan dari bug bounty adalah penghasilan kena pajak di Indonesia. Ini sering diabaikan hunter pemula, padahal penting begitu nominalnya mulai signifikan. Penghasilan dari luar negeri (worldwide income) untuk Wajib Pajak dalam negeri tetap wajib dilaporkan.
Beberapa hal praktis:
- Penghasilan dari luar negeri tetap wajib dilaporkan di SPT tahunan.
- Simpan bukti setiap payout (email HackerOne, mutasi rekening/PayPal, screenshot).
- Kalau penghasilan sudah rutin dan besar, pertimbangkan konsultasi ke konsultan pajak.
Disclaimer jujur: aturan pajak bisa berubah, dan ini bukan nasihat pajak. Gue bukan konsultan pajak. Tujuan bagian ini cuma supaya kamu nggak kaget nanti — bukan keputusan pajak final. Untuk angka dan skema terbaru, cek langsung ke DJP atau konsultan.
Niat baik: lebih baik tertib dari awal daripada bingung saat penghasilan sudah besar. Bikin folder khusus “payout”, simpan tiap bukti. Hunter yang serius biasanya menganggap ini profesi, bukan iseng — dan profesi butuh pembukuan.
Langkah 5 — Bangun rutinitas, bukan ngejar jackpot
Hunter yang bertahan bukan yang paling jago, tapi yang paling konsisten. Rutinitas yang sehat:
- Pilih 1–2 program dan pelajari mendalam, jangan loncat-loncat tiap minggu.
- Baca disclosed report di program itu untuk memahami pola bug yang dibayar.
- Catat setiap temuan, bahkan yang belum jadi report.
- Sisihkan waktu tetap (misal 1–2 jam tiap malam) daripada maraton sekali seminggu.
Konsistensi juga soal infrastruktur. Banyak hunter pakai VPS murah untuk recon dan automation yang jalan 24/7 — konsep setup-nya mirip dengan yang dibahas di 5 Tools Automation di VPS.
Common mistakes yang bikin pemula nyerah
Ini kesalahan yang paling sering gue lihat, dan semuanya bisa dihindari:
- Submit tanpa baca Known Issues. Lapor hal yang udah di daftar “jangan lapor” = N/A otomatis + signal turun. Baca 7 Alasan Report Dapat N/A.
- Ngejar ATO sebagai bug pertama. Kompetisinya brutal. Mulai dari staff permission dulu.
- Loncat-loncat program. Tiap program punya aturan beda. Fokus satu dulu sampai paham.
- Berhenti di “anomali” bukan “impact”. Report accepted tapi dibayar kecil karena nggak di-escalate.
- Panik pas timeline lambat. Spam komentar atau kontak support (di Shopify ini langsung disqualify).
- Lupa catat payout buat pajak. Pusing di akhir tahun.
Realistis soal penghasilan
Dari pengalaman komunitas: staff permission issues di Shopify dibayar tier $50–$500, sementara ATO high/critical bisa ribuan dolar tapi kompetisinya brutal dan prosesnya lambat. Untuk pemula, target yang masuk akal adalah membangun beberapa accepted report dulu untuk menaikkan signal — baru kemudian ngejar bug bernilai tinggi.
Progres realistis buat hunter yang konsisten:
- Bulan 1–2: belajar, setup lab, baca disclosed report. Mungkin 0 payout, dan itu normal.
- Bulan 3–4: 1–3 accepted report tier kecil ($50–$500). Signal mulai naik.
- Bulan 6+: mulai nemu bug menengah, kadang satu yang lumayan gede. Masih nggak stabil.
Bug bounty jarang jadi penghasilan utama yang stabil di tahun pertama. Perlakukan sebagai investasi skill yang kebetulan bisa dibayar.
Checklist mulai bug bounty dari Indonesia
- Daftar HackerOne, aktifkan email alias
@wearehackerone.com. - Baca mekanika signal dan trial report.
- Pilih 1 program ramah pemula (rekomendasi: Shopify).
- Baca policy, criteria, dan Known Issues program sampai paham.
- Setup dev store / test environment legal.
- Setup metode payout (PayPal/Payoneer), uji verifikasi.
- Bikin spreadsheet pencatatan payout untuk pajak.
- Baca 10+ disclosed report di program pilihan.
- Submit report pertama di area peluang-tinggi (bukan ATO).
- Jangan menyerah di report N/A pertama — pelajari alasannya.
Percepat fase belajar
Kurva belajar bug bounty curam, dan sebagian besar waktu pemula habis untuk riset “apa yang sebenarnya dibayar”. Untuk Shopify, gue sama tim udah rangkum hasil riset puluhan disclosed report — area testing prioritas, Known Issues, pola report yang diterima — di Shopify Bug Bounty Starter Pack ($7). Anggap ini peta jalan biar kamu nggak tersesat di awal dan nggak buang trial report buat hal sia-sia.
Bug bounty itu nyata dan accessible buat orang Indonesia. Yang membedakan yang bertahan dan yang menyerah bukan bakat — tapi ekspektasi yang realistis dan persiapan yang benar. Mulai kecil, tetap konsisten, dan jangan percaya siapa pun yang janjiin cepat kaya.
Sumber & referensi
- HackerOne — dokumentasi Signal & Reputation: docs.hackerone.com
- Shopify Bug Bounty Program (HackerOne): hackerone.com/shopify
- Disclosed report #791775 — Shopify account takeover ($37.500)
- Direktorat Jenderal Pajak — ketentuan pelaporan penghasilan: pajak.go.id