Kenapa Shopify Bug Bounty Worth It di 2026

Shopify bayar sampai $200.000 untuk satu bug critical. Programnya publik — gak perlu invite, gak perlu reputation 1000. Yang dibutuhin: akun HackerOne, 1 dev store (gratis), dan strategy yang bener.

Masalahnya: 90% hunter pemula dapat N/A karena lapor hal-hal yang udah masuk Known Issues list. Padahal aturannya tertulis jelas di halaman criteria mereka.

Artikel ini adalah hasil kompilasi riset dari 57 sumber — 30+ disclosed reports di HackerOne, thread Reddit r/bugbounty, blog komunitas (Ophion Security, Bug Bounty Explained), dan dokumentasi resmi Shopify — plus real testing session di dev store sendiri.

Yang Dibayar Shopify (Berdasarkan Data Nyata)

Jenis BugContohPayout
Auth bypass / ATO di Shopify IDEmail confirmation chain (#791775)$37.500
IDOR GraphQL antar-shopBillingDocumentDownload (#2207248)$5.000
Login throttle bypassStorefront API normalization (#1363672)$3.500
Staff permission boundaryPayments balance via GraphQL (#417170)$50–$500
Path traversal App Proxyngalog (#869888)$500

Pola yang jelas: bug auth di accounts.shopify.com = payout terbesar. IDOR dengan ID numerik = $5k. Staff permission = tier kecil tapi sering accepted.

Yang PASTI N/A (Jangan Buang Waktu)

Ini daftar Known Issues resmi Shopify + pola yang sudah fixed. Lapor ini = buang trial report:

  • User atau store name enumeration — jebakan nomor satu pemula
  • XSS di store sendiri / storefront / checkout / CDN / Theme Editor / Rich Text Editor
  • CSRF modify cart, login, logout
  • Missing rate limit tanpa demonstrasi impact — harus tunjukin brute force nyata berhasil
  • Open redirect tanpa chain (di-chain ke XSS baru dibayar $1.750)
  • SSRF yang cuma HTTP/DNS interaction
  • Session persistence setelah logout = intended behavior
  • Admin vs staff di organisasi yang sama = bukan security boundary
  • UUID IDOR tanpa cara realistis attacker dapat UUID-nya
  • Password strength, CVV validation, SPF/DKIM/DMARC, tab nabbing, CSV injection
  • Bug di sample code Shopify = Informative
  • Bug di third-party apps = gak dibayar, lapor ke developer-nya dulu

Setup: 30 Menit dari Nol

1. Akun HackerOne

Daftar di hackerone.com, verifikasi email. Aktifkan email alias di Settings — kamu dapat username@wearehackerone.com yang bisa dipake buat daftar service lain tanpa bocorin email asli.

2. Dev Store Shopify (Gratis, Selamanya)

Jangan daftar lewat signup trial biasa — itu bakal minta paid plan buat fitur tertentu. Jalur bener: Dev Dashboard di dev.shopify.com → Stores → Create store → type Dev. Gratis, unlimited, fitur setara Advanced.

PENTING: semua store yang lu test harus dibuat pake email alias H1. Interaksi dengan store orang lain = banned dari program.

3. Custom App di Dev Dashboard

Dev Dashboard → Apps → Create app → kasih scopes yang lu butuhin (read_products, write_orders, dst) → Install ke store → ambil Client ID + Secret → exchange jadi access token:

import requests
r = requests.post("https://STORE.myshopify.com/admin/oauth/access_token", data={
    "grant_type": "client_credentials",
    "client_id": "xxx",
    "client_secret": "xxx",
})
token = r.json()["access_token"]  # expire 24 jam, auto-refresh

4. Test Payment Gateway

Settings → Payments → aktifin Test payment gateway (bukan Shopify Payments test mode). Ini buka order testing unlimited via checkout storefront.

Rencana Serangan 7 Hari (Ranked by Success Probability)

Rank 1: Staff Permission Boundary (Hari 1–2) — Paling Realistis

Hipotesis: ada GraphQL operation yang ngasih data Sensitive ke staff tanpa permission.

Bikin 2 staff: satu full-permission, satu minimal. Sweep operations sensitif (shopifyPaymentsAccount, payouts, AdminGenerateSessionPayload, webhookSubscriptions, customer PII) dengan kedua session. Staff-min dapat data gated = FLAG.

Precedent: #417170, #898528, #1350095, #1023669. Tier $50–$500 tapi accepted rate tinggi — cocok buat report pertama.

Kriteria valid: harus escalate ke Sensitive Permission ATAU financial impact langsung ATAU Buyer PII. Admin-vs-staff di org yang sama = N/A.

Rank 2: Cross-ORG GraphQL IDOR (Hari 2–4)

Fitur baru di changelog = permukaan fresh, duplicate risk rendah. Shopify sendiri nyaranin monitor changelog.

Cari operation yang nerima ID numerik → swap ID antara dua store milikmu (org beda). Response beda antara “not exist” vs “not yours” = info leak. Data beneran balik = pola $5k #2207248.

Rank 3: App Proxy Backend (Hari 5–6)

Build custom app dengan App Proxy. Test: HMAC parameter pollution (duplikat shop/signature — GHSA-3h8r-q86m-44c7), session token sub tidak divalidasi vs data yang diminta (docs resmi mengakuin ini kelemahan developer umum).

Rank 4: Storefront API Input Normalization (pengisi)

Pola #1363672 ($3.500): email +whitespace atau beda case reset throttle counter. Cari mutation auth baru dengan normalisasi gak konsisten. Wajib demonstrasi brute-force nyata — rate limit doang = N/A.

Rank 5: ATO Chain (pasif)

Reward terbesar, kompetisi paling tinggi, Cloudflare-protected. Recon saja sampai ada browser residential.

Blueprint Report yang Accepted

Judul: Staff member without [Permission X] can [action] via Admin GraphQL [operation] — [impact type]

Struktur:

  1. Summary 2 kalimat: siapa → bisa apa → lewat mana → kategori criteria yang dilanggar
  2. Security boundary — tunjukin permission-nya eksplisit OFF di UI, tapi API tetap kasih data
  3. Repro — request/response lengkap, dua skenario (baseline vs vulnerable)
  4. Impact konkret — data apa bocor, konsekuensi bisnisnya. Bukan “bisa diapain teorinya”
  5. Self-assessed severity — jujur. Over-claim Critical = downgrade + rusak signal

Checklist sebelum submit: [✓] masuk 4 kategori criteria · [✓] bukan Known Issue · [✓] cek duplicate di hacktivity · [✓] repro 2x konsisten · [✓] impact konkret

Realita yang Perlu Lu Tahu

  • Timeline: 15–47 hari dari submit ke keputusan bounty. Ini bukan kerja cepat kaya.
  • Trial report: akun baru cuma 6 total di seluruh platform. 1 duplicate = 1/6 hilang.
  • Signal requirement: target 1.0. Report pertama harus valid — setelah 5 resolved, limit kebuka.
  • Kompetisi: Shopify udah di-hunt ribuan hacker. Low-hanging fruit hilang. Peluang ada di fitur baru (monitor shopify.dev/changelog — strategi yang Shopify sendiri nyaranin).

Tools & Resources

Full research dengan 57 sources dan 30+ disclosed report links tersedia dalam paket playbook lengkap.

Artikel ini berdasarkan real testing di dev store sendiri (Oktober 2026) + kompilasi 57 sumber publik. Gak ada guaranteed income — bug bounty itu skill game, bukan lottery.