Wszystkie dokumentyProgram

Bug bounty

Znalazłeś dziurę w mechanikach? Nie farm na niej po cichu - zgłoś ją i zgarnij wirtualną walutę. Za wykorzystanie błędu leci ban, za zgłoszenie leci przelew.

Ostatnia aktualizacja: 11 sierpnia 2026

150 000 $za błąd krytyczny48 hna pierwszą odpowiedź0kar za uczciwe zgłoszenie

TL;DR

W zakresie jest wszystko, co zbudowaliśmy sami: serwer, strona, sklep i Discord. Zgłoś błąd ticketem, zanim go użyjesz, a zamiast bana dostaniesz wirtualną walutę - od 5 000 $ za drobiazg do 150 000 $ i więcej za błąd krytyczny. Nie testuj na innych graczach, nie publikuj przed naprawą, a to, co zdążyłeś zarobić na błędzie, po prostu oddaj w zgłoszeniu.

Zasady programu

Siedem punktów. Trzymasz się ich - jesteś kryty, nawet jeśli po drodze coś na błędzie zarobiłeś.

1.Zgłaszaj przez ticket, zanim ktokolwiek inny zobaczy błąd. Liczy się pierwsze zgłoszenie - kolejne za ten sam błąd nie są nagradzane.
2.Nie wykorzystuj błędu i nie mów o nim innym graczom. Jedno powtórzenie, żeby spisać kroki, jest w porządku. Tydzień farmienia już nie.
3.Testuj wyłącznie na sobie i na własnych rzeczach. Nie ruszaj cudzych kont, działek, danych ani ekwipunku.
4.Nie testuj DoS-a, nie zalewaj serwera ruchem, nie kasuj i nie modyfikuj niczego, co do Ciebie nie należy. Sam raport wystarczy.
5.Nie publikuj błędu, dopóki go nie naprawimy. Publikacja bez uzgodnienia zwykle oznacza brak nagrody.
6.Jeśli zdążyłeś coś na błędzie zarobić, napisz to w zgłoszeniu i oddaj. Wtedy sprawa kończy się wypłatą nagrody w pełnej wysokości, a nie banem z pozycji BUG-01 - nie obcinamy jej za to, że najpierw sprawdziłeś, ile ten błąd daje.
7.Nagrodę wypłacamy po weryfikacji i naprawie, na konto o podanym nicku. Wysokość ustala Administracja na podstawie realnego wpływu błędu na rozgrywkę. Od 50 000 $ w górę dorzucamy rangę i pakiet przedmiotów.

Nagrody

Widełki orientacyjne w wirtualnej walucie serwera. O kwocie decyduje realny wpływ błędu na rozgrywkę, nie jego opis w zgłoszeniu. Minimalna nagroda to 5 000 $, górna granica to 150 000 $ - a przy błędach dotykających płatności i danych osobowych przestaje obowiązywać.

Exploity i cheaty w grze

Dwie ostatnie kolumny mówią o tym, jak łatwo błąd powtórzyć - bo to od tego zależy, ile szkody realnie potrafi narobić:

Powtarzalny zawsze

Wykonujesz te same kroki i błąd działa za każdym razem, na żądanie. Jeden gracz zamienia taki błąd w farmę w jeden wieczór, więc płacimy za niego najwięcej.

Działa co jakiś czas

Błąd potrzebuje szczególnych warunków - drugiego gracza, restartu serwera, dobrego pingu - albo po prostu nie zawsze wychodzi. Groźny, ale trudniej go odpalić na masową skalę.

Kategoria	Przykłady	Powtarzalny zawsze	Działa co jakiś czas
Duplikacja przedmiotów	Kopiowanie zawartości shulkera lub skrzyni przy restarcie serwera, wymiana z graczem w momencie jego wyrzucenia, duplikacja przez sklepik gracza albo /kit.	60 000 - 150 000 $	20 000 - 50 000 $
Duplikacja waluty	Przelew, po którym kasa zostaje na obu kontach, błąd zaokrąglenia przy sprzedaży hurtem, bank wypłacający więcej niż wpłacono.	60 000 - 150 000 $	20 000 - 50 000 $
Obejście ochrony miasta	Postawienie lub zbicie bloku w strefie chronionej, otwarcie cudzej skrzyni, wejście za ścianę regionu perłą, tłokiem albo wagonikiem.	30 000 - 90 000 $	10 000 - 25 000 $
Zabójstwo w strefie chronionej	Zadanie obrażeń przez ścianę regionu, utopienie lub zrzucenie gracza mechaniką świata, zabicie go mobem nasłanym z zewnątrz miasta.	30 000 - 90 000 $	10 000 - 25 000 $
Obejście rangi Killer	Zdjęcie rangi relogiem lub śmiercią, teleportacja mimo blokady, wejście do miasta bez trafienia do więzienia, skrócenie 30-minutowej przerwy po śmierci.	25 000 - 70 000 $	8 000 - 20 000 $
Obejście kar	Pisanie na czacie mimo mute’a, mówienie mimo wyciszenia głosu, wejście na serwer mimo bana bez zmiany konta, wyjście z więzienia przed czasem.	25 000 - 70 000 $	8 000 - 20 000 $
Nieskończone zasoby	Quest lub event wypłacający nagrodę wielokrotnie, farma omijająca limity aktywności, /kit przed końcem cooldownu, drop skalujący się bez ograniczenia.	15 000 - 45 000 $	5 000 - 15 000 $
Działki i najem	Darmowe przedłużenie najmu, druga działka na koncie, edycja cudzej działki bez bycia mieszkańcem, odzyskanie zawartości po wygaśnięciu.	15 000 - 45 000 $	5 000 - 15 000 $
Obejście wykrywania	Metoda na oszukanie antycheata, systemu kar albo logów - opisana i pokazana na sobie, nie użyta na graczach.	30 000 - 100 000 $	indywidualnie

Ekonomia, sklep i limity

Kategoria	Przykłady	Zawartość płatna za darmo	Obejście progresji	Obejście limitów
Proces zakupu	Dostawa produktu bez zaksięgowanej płatności, podmiana ceny lub zawartości koszyka w locie, wielokrotna realizacja jednego zamówienia, zakup na cudzy nick z cudzych środków.	150 000 $ i ranga	30 000 - 60 000 $	10 000 - 30 000 $
Kody i promocje	Wielokrotne użycie jednorazowego kodu, kod działający na cudze zamówienie, zniżka schodząca poniżej zera, obejście dopłaty za PaySafeCard.	60 000 - 150 000 $	20 000 - 40 000 $	10 000 - 25 000 $
Nagrody i eventy	Wielokrotny odbiór tej samej nagrody, odbiór bez spełnienia warunków, przejęcie nagrody z przetargu wygranego przez kogoś innego.	-	15 000 - 40 000 $	8 000 - 20 000 $
Limity konta	Obejście limitu zgłoszeń, cooldownów komend, limitu klanów albo liczby działek - bez użycia multikonta.	-	10 000 - 25 000 $	5 000 - 15 000 $

Infrastruktura

Kategoria	Przykłady	Krytyczne (płatności, konta, serwer gry)	Wysokie (strona i sklep)	Średnie (bot Discord, API statystyk)
Wykonanie kodu	RCE, wstrzyknięcie komendy konsoli przez czat, nick, nazwę działki lub przedmiotu, podatna deserializacja, upload pliku wykonywalnego.	150 000 $ i ranga	100 000 $	50 000 $
Dostęp do bazy lub plików	SQL injection, path traversal, XXE, brak kontroli dostępu do panelu administracyjnego, odsłonięty backup lub plik konfiguracyjny z hasłami.	150 000 $	75 000 $	25 000 $
Przejęcie konta	Przejęcie sesji, reset hasła kierujący na cudze konto, XSS wykradający ciasteczka, CSRF wymuszający zakup lub zmianę ustawień.	120 000 $	60 000 $	25 000 $
Wyciek danych graczy	IDOR na cudze zamówienia, ujawnienie adresu e-mail, IP lub historii zakupów, nadmiarowe dane w API statystyk, SSRF sięgający do sieci wewnętrznej.	100 000 $	50 000 $	20 000 $
Podniesienie uprawnień	Komenda administracyjna dostępna dla zwykłego gracza, dostęp do logów i zgłoszeń, przejęcie uprawnień bota na Discordzie.	120 000 $	60 000 $	30 000 $
Przejęcie zasobu	Przejęcie subdomeny, martwego linku z oficjalnych kanałów albo konta społecznościowego Hodowli RP.	25 000 $	15 000 $	5 000 $

Przy błędach dotyczących płatności i danych osobowych górna granica przestaje obowiązywać - takie zgłoszenia wyceniamy indywidualnie. Nagród pieniężnych w tym programie nie wypłacamy: wszystko rozliczamy w walucie z gry, randze i przedmiotach.

Co jest w zakresie

Serwer Minecraft hodowlarp.pl: mechaniki, pluginy, ekonomia, ochrona miast, działki, klany, eventy, czat głosowy i system kar.
Strona hodowlarp.pl wraz ze sklepem, koszykiem, procesem płatności i profilami graczy.
Oficjalny Discord Hodowli RP oraz nasze boty, w zakresie tego, co sami napisaliśmy.
Wszystko, co wymaga od nas zmiany w kodzie lub konfiguracji, żeby przestało działać - jeśli musimy coś naprawić, prawdopodobnie kwalifikuje się do nagrody.

Poza zakresem

Te zgłoszenia zamykamy bez nagrody. Nie dlatego, że są bezwartościowe - po prostu nie są naszym błędem.

Błędy samego Minecrafta i mechaniki vanilla, które działają tak samo na każdym serwerze.
Błędy w cudzym oprogramowaniu: Discord, operator płatności, dostawca hostingu. Zgłoś je bezpośrednio do nich.
Błędy zgłoszone wcześniej przez kogoś innego oraz te, o których uprzedziliśmy na Discordzie.
Problemy po Twojej stronie: lagi, modyfikacje, paczki tekstur, zerwane połączenie, słaby internet.
Balans i decyzje projektowe. „Ta ranga jest za droga” to sugestia, nie błąd - czekamy na nią w kanale pomysłów.
Raporty z automatycznych skanerów bez pokazania, że błąd faktycznie działa u nas.
Brak nagłówków bezpieczeństwa, brak limitów zapytań i inne odstępstwa od dobrych praktyk bez pokazanego wpływu.
Ataki wymagające fizycznego dostępu do cudzego komputera oraz socjotechnika wymierzona w Administrację lub graczy.
Zgłoszenia wygenerowane przez AI bez sprawdzenia, czy opisany błąd w ogóle u nas istnieje.

Pro-tipy

Co odróżnia zgłoszenie wypłacone w tydzień od takiego, które wisi miesiąc.

Kroki do powtórzenia, które da się wykonać jeden po drugim. To najczęstszy powód, dla którego zgłoszenie utyka.
Tytuł mówiący, czego dotyczy błąd - „duplikacja przez shulkera przy restarcie”, a nie „znalazłem buga”.
Nagranie lub clip. Nawet 20 sekund rozstrzyga więcej niż akapit opisu.
Wyjaśnienie, co realnie da się z tym zrobić: ile waluty na godzinę, ilu graczy dotyczy, czy da się to zautomatyzować.
Testy prowadzone tak, by nie dotknęły innych graczy - najlepiej na pustym terenie i na własnych rzeczach.

Bezpieczna przystań

Jeżeli działasz zgodnie z tymi zasadami, traktujemy Twoje testy jako działanie za naszą zgodą. Nie nakładamy za nie kar z taryfikatora, nie odbieramy dorobku konta i nie kierujemy sprawy nigdzie dalej - nawet jeśli po drodze coś się posypało.

Natknąłeś się przypadkiem na cudze dane? Zatrzymaj się natychmiast, nie przeglądaj ich, nie zapisuj i nie przekazuj dalej, usuń to, co lokalnie zostało, i napisz do nas od razu. Takie zachowanie traktujemy jako część zgłoszenia, nie jako naruszenie.

Działa to w jedną stronę: wykorzystanie błędu dla zysku, sprzedaż wiedzy o nim, testy na nieświadomych graczach albo groźby („zapłaćcie, bo opublikuję”) wypadają poza program i rozliczamy je zgodnie z taryfikatorem.

Jak zgłosić

Ticket w sekcji Wsparcie na Discordzie. Wklej szablon i uzupełnij - bez kroków do powtórzenia nie jesteśmy w stanie błędu potwierdzić.

Szablon zgłoszenia

Zgłoś błąd na Discordzie

zgloszenie-bledu.txt

Nick:
Gdzie występuje (serwer, miasto, komenda, strona):
Na czym polega błąd:
Kroki, żeby go powtórzyć:
1.
2.
3.
Co się dzieje, a co powinno:
Realny wpływ (ile daje, kogo dotyczy):
Nagranie lub screeny:
Czy coś na tym zyskałeś (i co oddajesz):

Co się dzieje po zgłoszeniu

1
48 godzin
Odpisujemy w tickecie i mówimy, czy potrzebujemy czegoś więcej do odtworzenia błędu.
2
5 dni
Potwierdzamy błąd, przypisujemy go do kategorii z tabel powyżej i podajemy wstępną wycenę.
3
Do naprawy
Łatamy dziurę. Przy poważnych błędach prosimy Cię czasem o sprawdzenie, czy poprawka faktycznie działa.
4
14 dni od naprawy
Wypłacamy nagrodę na konto o podanym nicku, a od 50 000 $ w górę dorzucamy rangę i pakiet przedmiotów.

Terminy opisują normalną pracę Administracji i nie są zobowiązaniem umownym. Przy błędach krytycznych działamy szybciej, bo to w naszym interesie.

Drobny druk

Nagrody to dobra wirtualne w rozumieniu Regulaminu ogólnego: waluta z gry, rangi i przedmioty. Nie mają wartości poza grą, nie podlegają wymianie na pieniądze i nie wypłacamy ich w gotówce - także za błędy krytyczne.
Program prowadzimy dobrowolnie. Możemy zmienić stawki, zakres lub zakończyć program w każdej chwili, informując o tym na Discordzie. Zmian nie stosujemy wstecz do zgłoszeń już złożonych.
Decyzja o kwalifikacji zgłoszenia i wysokości nagrody należy do Administracji.
Jedno zgłoszenie to jedna nagroda, niezależnie od tego, w ilu miejscach ten sam błąd występuje.
Członkowie Administracji Hodowli RP nie biorą udziału w programie.
Ponieważ nagrodą są wyłącznie dobra wirtualne, w programie mogą brać udział także osoby niepełnoletnie - bez umów, faktur i podawania danych osobowych. Wystarczy nick.

Changelog

11 sierpnia 2026Start programu. Pierwsze stawki, zakres i zasady zgłaszania.

Taryfikator - kary za wykorzystanie błędu

Wątpliwości, czy to błąd? Zgłoś mimo wszystko - lepiej raz za dużo.