In dit artikel analyseert Joel Margolis de geschiedenis en ontwikkeling van HackerOne vanuit zijn perspectief als zowel bug bounty-jager als programma-manager.
Kernpunten uit het artikel:
- Oorsprong: HackerOne werd in 2011 opgericht door Jobert Abma en Michiel Prins om een veilige, legale omgeving te creëren voor ethische hackers. Voorheen liepen onderzoekers grote juridische risico's wanneer ze kwetsbaarheden meldden.
- De 'Gouden Era': Tussen 2017 en 2020 lag de focus van het platform volledig op de behoeften van de hacker. Dit leidde tot een zeer productieve periode waarin de relatie tussen bedrijven en onderzoekers optimaal was.
- Live Hacking Events (LHE's): Een hoogtepunt in deze periode waren de exclusieve LHE's, waarbij toponderzoekers fysiek samenkwamen om intensief naar kritieke bugs te zoeken, wat resulteerde in een ongekende hoeveelheid hoogwaardige beveiligingsrapporten.
Wat is er gebeurd met HackerOne?
Dus... wat is er de laatste tijd aan de hand bij HackerOne? Het is misschien tijd voor een wellness check.
Als je nieuw bent in de bug bounty-wereld (1 tot 3 jaar ervaring), heb je mogelijk geen idee waar ik het over heb. Maar als een doorleefde bug bounty-jager die de gouden era van HackerOne heeft meegemaakt, denk ik dat het tijd is om de olifant in de kamer te benoemen.
Ter context: ik begon in 2017 als hacker op HackerOne. Toen ik in de techsector aan de slag ging, was die praktijkervaring extreem nuttig voor het beheren van een bug bounty-programma, omdat ik wist wat onderzoekers wilden en hoe ik met hen moest communiceren. Als resultaat heb ik tussen 2018 en 2025 meerdere grote bug bounty-programma's beheerd op HackerOne bij diverse bedrijven; ik heb dus beide kanten van de medaille gezien.
Wat ik hier bespreek, komt voort uit directe ervaring—zowel als onderzoeker als programma-manager—en vele jaren van directe gesprekken met HackerOne, zowel publiekelijk als privé.
Achtergrond
Om te beginnen is het belangrijk om te begrijpen waar HackerOne oorspronkelijk voor was ontworpen.
In 2011 wilden twee ethische hackers, Jobert Abma en Michiel Prins, beveiligingslekken vinden bij 100 van de grootste techbedrijven. Ze slaagden daarin en vonden bugs bij Google, Facebook, Apple, Microsoft, Twitter en vele anderen. In die tijd was het landschap voor ethisch beveiligingsonderzoek riskant, juridisch dubieus en zeer beangstigend voor onderzoekers.
Er was niet alleen sprake van aanzienlijke persoonlijke aansprakelijkheid, maar er waren ook meerdere gevallen waarbij hackers strafrechtelijk waren vervolgd en tot gevangenisstraffen waren veroordeeld voor het vinden en melden van kwetsbaarheden. Veel hiervan kwam door willekeurige grenzen; als je die overschreed, werd je als kwaadwillend gezien, terwijl je net daarbovenop technisch gezien geen wet overtrad maar nog steeds een risico vormde.
Bug bounty-platforms zoals HackerOne waren ontworpen om dit probleem direct aan te pakken. Het creëerde een veilige, wederzijdse ruimte waar bedrijven en hackers contact konden leggen. Het plaveide de weg voor ethische hackers om beveiligingslekken met volledige toestemming in te dienen bij bedrijven en daarvoor betaald te krijgen. Dit was een enorme mijlpaal. Je hoefde je niet langer zorgen te maken over een rechtszaak of gevangenisstraf omdat je een IDOR vond die klantgegevens lekte; in plaats daarvan kreeg je een "dankjewel" en een geldbedrag voor het veiliger maken van de wereld.
Dit operationele model vormde de basis voor bug bounty en bleef dat gedurende de volgende vijf jaar of meer.
De gouden era van HackerOne en Live Hacking Events
Tijdens deze periode lag de focus van het bedrijf zeer sterk en expliciet op één vraag: hoe maken we dit het best mogelijke product voor hackers? De mensen die de dagelijkse gang van zaken leidden waren zelf hackers of stonden hen zeer dichtbij, en bijna iedereen had regelmatig face-to-face contact met onderzoekers.
Van 2017 tot 2020 organiseerde HackerOne elke paar maanden Live Hacking Events (LHE's). Dit waren exclusieve evenementen waarbij de beste bug bounty-onderzoekers ter wereld naar een locatie vlogen, een doelwit kregen en vervolgens ongefilterd aan de slag gingen om kritieke kwetsbaarheden te vinden. LHE's boden enorme waarde voor programma's: in een periode van één tot drie dagen ontvingen bedrijven meer hoogwaardige en kritieke beveiligingsrapporten dan ze anders in een heel jaar zouden krijgen.
Elk evenement had een uniek ontworpen poster met graphics, hackers-gebruikersnamen, stickers en challenge coins. Het is moeilijk om te overschatten hoe ongelooflijk productief deze periode was voor HackerOne en hun top<|tool_response>
Wat is er gebeurd met HackerOne?
Dus... wat is er de laatste tijd aan de hand bij HackerOne? Het is misschien tijd voor een wellness check.
Als je nieuw bent in de bug bounty-wereld (1 tot 3 jaar ervaring), heb je mogelijk geen idee waar ik het over heb. Maar als een doorleefde bug bounty-jager die de gouden era van HackerOne heeft meegemaakt, denk ik dat het tijd is om de olifant in de kamer te benoemen.
Ter context: ik begon in 2017 als hacker op HackerOne. Toen ik in de techsector aan de slag ging, was die praktijkervaring extreem nuttig voor het beheren van een bug bounty-programma, omdat ik wist wat onderzoekers wilden en hoe ik met hen moest communiceren. Als resultaat heb ik tussen 2018 en 2025 meerdere grote bug bounty-programma's beheerd op HackerOne bij diverse bedrijven; ik heb dus beide kanten van de medaille gezien.
Wat ik hier bespreek, komt voort uit directe ervaring—zowel als onderzoeker als programma-manager—en vele jaren van directe gesprekken met HackerOne, zowel publiekelijk als privé.
Achtergrond
Om te beginnen is het belangrijk om te begrijpen waar HackerOne oorspronkelijk voor was ontworpen.
In 2011 wilden twee ethische hackers, Jobert Abma en Michiel Prins, beveiligingslekken vinden bij 100 van de grootste techbedrijven. Ze slaagden daarin en vonden bugs bij Google, Facebook, Apple, Microsoft, Twitter en vele anderen. In die tijd was het landschap voor ethisch beveiligingsonderzoek riskant, juridisch dubieus en zeer beangstigend voor onderzoekers.
Er was niet alleen sprake van aanzienlijke persoonlijke aansprakelijkheid, maar er waren ook meerdere gevallen waarbij hackers strafrechtelijk waren vervolgd en tot gevangenisstraffen waren veroordeeld voor het vinden en melden van kwetsbaarheden. Veel hiervan kwam door willekeurige grenzen; als je die overschreed, werd je als kwaadwillend gezien, terwijl je net daarbovenop technisch gezien geen wet overtrad maar nog steeds een risico vormde.
Bug bounty-platforms zoals HackerOne waren ontworpen om dit probleem direct aan te pakken. Het creëerde een veilige, wederzijdse ruimte waar bedrijven en hackers contact konden leggen. Het plaveide de weg voor ethische hackers om beveiligingslekken met volledige toestemming in te dienen bij bedrijven en daarvoor betaald te krijgen. Dit was een enorme mijlpaal. Je hoefde je niet langer zorgen te maken over een rechtszaak of gevangenisstraf omdat je een IDOR vond die klantgegevens lekte; in plaats daarvan kreeg je een "dankjewel" en een geldbedrag voor het veiliger maken van de wereld.
Dit operationele model vormde de basis voor bug bounty en bleef dat gedurende de volgende vijf jaar of meer.
De gouden era van HackerOne en Live Hacking Events
Tijdens deze periode lag de focus van het bedrijf zeer sterk en expliciet op één vraag: hoe maken we dit het best mogelijke product voor hackers? De mensen die de dagelijkse gang van zaken leidden waren zelf hackers of stonden hen zeer dichtbij, en bijna iedereen had regelmatig face-to-face contact met onderzoekers.
Van 2017 tot 2020 organiseerde HackerOne elke paar maanden Live Hacking Events (LHE's). Dit waren exclusieve evenementen waarbij de beste bug bounty-onderzoekers ter wereld naar een locatie vlogen, een doelwit kregen en vervolgens ongefilterd aan de slag gingen om kritieke kwetsbaarheden te vinden. LHE's boden enorme waarde voor programma's: in een periode van één tot drie dagen ontvingen bedrijven meer hoogwaardige en kritieke beveiligingsrapporten dan ze anders in een heel jaar zouden krijgen.
Elk evenement had een uniek ontworpen poster met graphics, hackers-gebruikersnamen, stickers en challenge coins. Het is moeilijk om te overschatten hoe ongelooflijk productief deze periode was voor HackerOne en hun top<|tool_response>
Groetjes,