Conformité
Bug bounty
Aussi appeléProgramme de primes aux boguesChasse aux bogues
En résumé
Un programme par lequel une organisation invite des chercheurs indépendants à rechercher des vulnérabilités dans un périmètre défini, et les rémunère pour chaque défaut valide. Il fonctionne selon des règles publiées : périmètre, techniques autorisées, barème, délais de traitement et protection des chercheurs.
Bug bounty, en détail
Le principe est d’élargir le nombre de regards sur un système en rémunérant le résultat plutôt que le temps passé. Le programme peut être public, ouvert à tous, ou privé, limité à des chercheurs invités sélectionnés par une plateforme intermédiaire. L’organisation publie une politique qui précise ce qui est dans le périmètre, ce qui est interdit (déni de service, accès aux données d’autrui, ingénierie sociale : définition), et le barème selon la sévérité.
La difficulté n’est pas de recevoir des rapports mais de les traiter. Un programme génère du volume, des doublons, des signalements hors périmètre ou de faible valeur. Il exige une équipe capable de trier rapidement, de reproduire, de corriger et de répondre au chercheur dans des délais annoncés ; un programme qui ignore ses chercheurs perd sa crédibilité et peut produire des divulgations non coordonnées. Le bug bounty est un complément et non un substitut aux tests menés sur un périmètre défini avec une méthodologie. Il est pertinent pour une organisation qui a déjà un processus de correction éprouvé, une application exposée et stable, et la capacité de gérer le flux. Avant cela, une politique de divulgation responsable et un test d’intrusion donnent plus de résultats pour un coût plus faible.
Qu’est-ce que cela change pour vous ?
Lancer un programme de primes sans l’équipe pour traiter les rapports expose à plus de risque que de bénéfice. Le préalable est un processus de correction rodé et une politique de divulgation claire.
Exemple illustratif (fictif)
Imaginons une plateforme de services en ligne qui ouvre un programme privé de primes à un groupe restreint de chercheurs invités, après un test d’intrusion complet et la mise en place d’une équipe de tri. Les premiers rapports pourraient porter sur des cas de contrôle d’accès négligés par les tests initiaux.
La confusion fréquente
Y voir un remplacement des tests d’intrusion. Les chercheurs choisissent librement ce qu’ils testent : la couverture n’est ni garantie, ni homogène, ni documentée comme dans une mission cadrée.
Qui peut vous accompagner ?
- Bug bounty et VDP : la prestationQue le premier chercheur qui vous écrit trouve un interlocuteur et une réponse.
- Pentest web : la prestationSavoir ce qu’un attaquant obtiendrait sur votre application.
Aller plus loin
- ArticleBug bounty ou politique de divulgation : par où commencer ?Une politique de divulgation de vulnérabilités avant un programme de primes : ce que chacun apporte, l’ordre à suivre, le contenu du texte et le traitement d’un signalement.
- ArticleAutorisation de test d’intrusion : ce que doit contenir la lettrePérimètre, fenêtres, adresses IP sources, contacts, clause d’arrêt, données, signataires habilités : le contenu d’une autorisation écrite avant un test d’intrusion, et son cadre légal.
- ComparatifTest d’intrusion ou bug bounty : faut-il ouvrir un programme de primes ?Une mission cadrée et un programme de primes ont des modèles économiques opposés et des couvertures différentes. Ce que chacun apporte, ce qu’il suppose en interne, et quand l’un ne se justifie pas encore.
Termes liés
- ConformitéDivulgation responsable : définitionLe processus par lequel une personne qui découvre une vulnérabilité la signale en privé à l’organisme concerné, lui laisse un délai raisonnable pour la corriger, puis la rend publique de manière coordonnée.
- MéthodeTest d’intrusion : définitionUne simulation d’attaque autorisée et encadrée, menée par des analystes, qui cherche à démontrer ce qu’un attaquant pourrait obtenir sur un périmètre défini.
- ConformitéCVE : définitionUn identifiant public et unique, de la forme CVE-2024-12345, attribué à une vulnérabilité connue dans un produit logiciel ou matériel.
- AttaqueIDOR / BOLA : définitionUn défaut de contrôle d’accès où l’application sert l’objet demandé sans vérifier qu’il appartient à l’utilisateur authentifié.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début