Почему не платят за уязвимости, что я делаю не так?
После найденной серьезной уязвимости почти всегда пишу админам/владельцам и т.д, чаще стараюсь выходить на прямой контакт сразу чтобы общаться с ответственным, в итоге только 1 из примерно 70 компаний платит "спасибо" хоть что-то.
ИМХО здесь дело в умении вести переговоры с владельцем бизнеса. У Вас получается найти уязвимость, но не получается донести до владельца ценность Вашей находки. Нет предела совершенствованию, есть куда расти...
Стать blackhat? Ну или сначала договариваться, а потом искать уязвимости? Или искать уязвимости там где за них платят?