Uma oferta permanente de pagamento a pesquisadores que relatem vulnerabilidades por meio de um processo de divulgação definido.
Por que isso importa
Muda a economia na margem: quem encontra uma falha passa a ter um caminho lícito e remunerado que concorre com a alternativa. Também dá ao projeto algo que uma auditoria não dá — cobertura contínua do código à medida que ele muda, em vez de uma fotografia de um único commit.
O que você pode verificar
Um programa vale na proporção dos seus termos: o pagamento máximo diante do valor efetivamente em risco, se o escopo cobre os contratos implantados ou apenas o repositório, e se existe um compromisso público de porto seguro para não processar pesquisadores de boa-fé.
Não é aconselhamento. As definições servem para entender, não para instruir. Nada aqui é orientação financeira, jurídica, tributária ou de segurança.