Wallarm, они и пентесты вроде делают, но это фирма, за карму не будут наверно)

Если сайт работает можно на багбаунти зарегаться там можно бесплатно вроде подключать людей кто будет искать уязвимости за карму на площадке, только точное название не помню и думаю их несколько, если интересно могу уточнить

Это нагуглил https://www.hackerone.com/internet-bug-bounty

Я оказался прав про первых и да вот вторые bugcrowd.com

Нам искали и для начала норм, потом как раз на площадках решат, может и платно

Нет)

Можно как я понимаю контролировать это, пускать не всех а частично

Плюс написать условия что не принимать простые отчеты сканеров

Там больше цветов)