Consulta sobre vulnerabilidades a nivel bug-bounty

Buenos días/tardes/noches, dependiendo del lugar donde se encuentren.

Voy a ir al grano directamente. Yo sinceramente no se si este tema va acá o no, me disculpo si no es así, pero como tiene que ver con vulnerabilidades y con explotación de las mismas, decidí meterlo en esta sección. Ergo, reitero, me disculpo si no es así.

Me he adentrado en este mundo desde muy chico, teniendo 11 años , y actualmente cuento con 31. A lo largo de estos años fui adquiriendo una cierta cantidad de conocimiento (y me falta mucho por delante), de forma autodidacta. Aunque, en estos ultimos 4 años, he realizado cursos y actualmente estudio para ser analista de sistemas.  Bien, el punto es que , comencé haciendo mis prácticas en laboratorios de prueba, pero como muchos saben, no es lo mismo que hacerlo a niveles mayores donde tenemos que lidiar con configuraciones realizadas por otras personas y que por lo tanto desconocemos hasta no hacer el reconocimiento y recoger la información suficiente verdad?. Bien, sin embargo todos sabemos que hacer esto sin permiso del administrador o de la empresa a la cual decidimos escoger como objetivo, es ilegal. Por lo tanto mi objetivo no es ni fue hacer estas prácticas como cyberdelincuente o algo por el estilo. (No lo tomo como tal porque nunca busqué beneficios económicos). Mi duda surge a raíz de todo esto que les estoy contando. En donde estudio, un muchacho que es ya egresado, me comentó de un sitio al que seguramente muchos conocen (no se si lo puedo nombrar porque no quiero hacer spam), que te permite encontrar fallos, reportarlos y te pagan por hacerlo.
Y la verdad es que me interesó esto, y quería meterme para poner a prueba mis conocimientos, y bueno obviamente adquirir nuevos, y mejorar los que ya tengo.
Sin embargo me veo con una duda... y quiero saber si es normal esta duda que tengo, o no. (Esto mas que en hacking debería ir en psicología jajaja).
¿Les ha pasado de encontrar una vulnerabilidad y dudar de si realmente es importante, o no es importante?, es decir a ver... Una cosa es encontrarla cuando haces esto por hobbie pero, cuando lo queres hacer a nivel mas "profesional"  es normal que te entren dudas como "hay gente que puede encontrar cosas mas grandes que yo, que puedo aportar?" o "¿lograré encontrar un fallo que las empresas consideren importante haciendo esto como un trabajo?", no es lo mismo hacerlo por hobbie, que a nivel profesional, o mejor dicho, la sensación no es la misma... Es normal sentirse así?.. ya se es un tema muy tonto el que expongo, pero bueno, a lo mejor ustedes que tienen mas experiencia en esto, me pueden decir si la primera vez sintieron algo similar. Desde ya muchisimas gracias por su atención. Saludos.

El bug bounty es una actividad que genera ingresos ,  no es ilegal  si las empresas que ofrecen recompensas por encontrar estas fallas en el sistema colocan una recompensa , eres libre de entrar en el mundo del bug bounty , claro haciendo todo eticamente y no ilegal