Bug bounty et politique de divulgation : préparer et piloter le programme
Que le premier chercheur qui vous écrit trouve un interlocuteur et une réponse.
Réponse courte
Bug bounty et VDP : de quoi s’agit-il, pour qui, à quel prix ?
Préparation d’une politique de divulgation de vulnérabilités puis, si votre maturité le justifie, d’un programme avec récompenses : périmètre, règles, circuit de triage et de correction, réponse aux chercheurs. Durée indicative : préparation de 2 à 4 semaines, puis appui au triage à la demande. Prix : sur devis, après un cadrage gratuit. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
Des chercheurs, des clients ou des curieux trouvent parfois une faille chez vous sans y avoir été invités. Faute d’adresse où écrire et de règle publiée, ils ne savent pas à qui s’adresser, et certains finissent par publier. Une politique de divulgation de vulnérabilités (VDP) règle ce premier problème : elle dit où signaler, ce qui est dans le périmètre, ce que vous vous engagez à faire et dans quel délai. Un programme de bug bounty : définition va plus loin en proposant une récompense selon la gravité.
L’ordre compte. Nous commençons par évaluer si vous pouvez recevoir et traiter des signalements : qui les lit, qui les reproduit, qui corrige, et en combien de temps. L’OWASP réserve les programmes avec primes aux organisations qui ont déjà une divulgation éprouvée et des processus de correction solides, car le volume de rapports, de doublons et de signalements hors périmètre submerge une équipe qui n’est pas prête. Nous rédigeons ensuite la politique, publions le fichier security.txt (RFC 9116) et construisons le circuit interne. Le programme avec récompenses vient après, si le besoin et les moyens existent.
Nous intervenons en préparation et en appui. Vous pouvez nous confier le premier niveau de triage : accuser réception, reproduire, écarter les doublons et les rapports hors périmètre, évaluer la gravité avec CVSS : définition, puis transmettre à vos développeurs une fiche exploitable. Nous ne sommes pas une plateforme : nous ne recrutons pas de chercheurs, ne versons pas de récompenses pour votre compte et n’hébergeons pas vos signalements. Si vous choisissez un intermédiaire, nous vous aidons à écrire le périmètre et les règles, puis à trier ce qui arrive. Les engagements juridiques pris envers les chercheurs sont validés par votre juriste ou votre avocat.
En résumé
- Durée indicative
- préparation de 2 à 4 semaines, puis appui au triage à la demande
- Prix
- sur devissur devis après cadrage : le prix dépend du périmètre exposé, du volume de signalements attendu et de la part de triage confiée
- Référentiels appliqués
- ISO/IEC 29147 (divulgation de vulnérabilités)ISO/IEC 30111 (traitement des vulnérabilités)RFC 9116 (security.txt)CVSS (FIRST)OWASP Vulnerability Disclosure Cheat Sheet
Mission conduite sous accord de confidentialité, sur un périmètre écrit au cadrage.
Réponse à toute demande sous 24 h ouvrées.
Bug bounty et VDP : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Évaluation de préparation
Capacité à recevoir, reproduire, corriger et répondre : personnes, délais, outil de suivi, circuit d’escalade. Avis honnête sur le bon moment pour ouvrir un programme.
Politique de divulgation
Rédaction du texte public : contact, périmètre, pratiques tolérées et interdites, délais de réponse, remerciements. Publication du fichier security.txt selon la RFC 9116.
Périmètre, règles et barème
Pour un programme avec récompenses : actifs inclus et exclus, types de failles éligibles, échelle fondée sur la gravité, traitement des doublons, règles de publication.
Circuit de triage et de correction
Qui reçoit, qui qualifie, qui corrige, quel délai selon la gravité, comment la réponse revient au chercheur. Modèles de réponse et fiches de suivi.
Choix d’une plateforme intermédiaire
Critères de comparaison si vous préférez passer par un acteur spécialisé : modèle de triage, confidentialité, coût, langue, hébergement des données.
Bug bounty et VDP : que livre la mission ?
- Diagnostic de préparation, avec les points à corriger avant l’ouverture
- Politique de divulgation rédigée, prête pour la validation juridique
- Fichier security.txt et page de signalement
- Règles et barème du programme, si un programme avec récompenses est retenu
- Procédure de triage, modèles de réponse aux chercheurs et tableau de suivi
- Fiche de triage pour chaque signalement traité avec nous : gravité, reproduction, correctif proposé
Qu’est-ce que cela change pour vous ?
- Un canal de signalement public que quelqu’un lit et auquel on répond dans le délai annoncé
- Un choix argumenté entre politique seule, programme privé et programme public
- Des signalements qui arrivent chez vos développeurs déjà reproduits et qualifiés
Bug bounty et VDP : pour qui est-ce utile ?
- Éditeurs et plateformes en ligne dont l’application est exposée et déjà testée régulièrement
- Organisations qui reçoivent des signalements spontanés et ne savent pas comment y répondre
- Entités soumises à NIS 2 qui veulent un canal de signalement et une politique publiée
- Équipes qui envisagent un bug bounty et veulent savoir si elles sont prêtes
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Bug bounty et VDP : combien de temps dure la mission ?
Durée indicative : préparation de 2 à 4 semaines, puis appui au triage à la demande. Les 6 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Fixer ce qui est traité, les objectifs mesurables et les personnes à associer.
- 02
État des lieux
Relever l’existant : configurations, outils, procédures, journaux, et l’écart avec le référentiel retenu.
- 03
Plan priorisé
Classer les actions par risque réduit et par effort, avec une personne responsable et une échéance pour chacune.
- 04
Mise en œuvre accompagnée
Réaliser ou guider les changements avec vos équipes, par lots, en limitant l’effet sur la production.
- 05
Contrôle des résultats
Vérifier par un test ou une mesure que chaque changement produit l’effet attendu.
- 06
Remise et suite
Remettre la documentation, former les équipes qui reprennent, proposer la suite si elle est utile.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Ce que nous ne promettons pasLes limites écrites avant la signature, et des référentiels appliqués plutôt que des certifications annoncées.
- Références sur demandeAucun nom de client n’est publié : une référence est donnée après accord écrit du client concerné.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez traiter, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Cette prestation se chiffre sur devis : le prix se fixe pour votre périmètre, après le cadrage.
Bug bounty et VDP : ce qu’on nous demande
Faut-il lancer un bug bounty ou se contenter d’une politique de divulgation ?
Commencez par la politique : elle coûte peu et convient à presque toute organisation. Un programme avec récompenses se justifie quand l’application exposée est stable, que des tests d’intrusion réguliers ont déjà traité l’essentiel, que l’équipe sait trier et corriger vite, et que le budget de récompenses peut monter si les failles sont nombreuses. Sans ces conditions, le programme coûte plus qu’il ne rapporte.
Gérez-vous une plateforme de bug bounty ou un réseau de chercheurs ?
Non. Nous ne sommes pas une plateforme : nous n’avons pas de communauté de chercheurs à vous proposer, nous ne payons pas de récompenses à votre place et vos signalements ne passent pas par nos serveurs. Nous préparons votre politique et vos règles, nous vous aidons à choisir un intermédiaire si vous en voulez un, et nous trions les rapports reçus pour vos équipes.
Que faire quand un chercheur réclame de l’argent pour une faille signalée ?
Sans programme de récompenses, vous n’avez aucune obligation de payer, et les bonnes pratiques de la profession demandent au chercheur de ne pas exiger de rémunération. Répondez poliment, reproduisez la faille, corrigez-la et remerciez-le. Si la demande prend la forme d’une menace de publication, ne payez pas sous la pression, conservez les échanges et demandez conseil à un juriste. Une politique publiée évite la plupart de ces situations.
Qui trie les signalements, et sous quel délai faut-il répondre ?
Par défaut, votre équipe, avec un titulaire et un suppléant désignés. Nous pouvons assurer le premier niveau de triage pour un volume convenu. Un accusé de réception sous quelques jours ouvrés est une pratique courante, mais le délai exact est un engagement public que vous devez pouvoir tenir : mieux vaut annoncer un délai raisonnable et le respecter que promettre vingt-quatre heures et l’oublier.
Pour comprendre avant de décider
- ArticleBug bounty ou politique de divulgation : par où commencer ?Une politique de divulgation de vulnérabilités avant un programme de primes : ce que chacun apporte, l’ordre à suivre, le contenu du texte et le traitement d’un signalement.
- ComparatifTest d’intrusion ou bug bounty : faut-il ouvrir un programme de primes ?Une mission cadrée et un programme de primes ont des modèles économiques opposés et des couvertures différentes. Ce que chacun apporte, ce qu’il suppose en interne, et quand l’un ne se justifie pas encore.
Quelles prestations s’y associent ?
Pentest web
Savoir ce qu’un attaquant obtiendrait sur votre application.
2 à 15 jours selon le périmètredès 1 490 €
Surface exposée
Savoir dès qu’un actif apparaît sur Internet, avant que quelqu’un d’autre ne le trouve.
mise en place en 1 à 2 jours, puis suivi continudès 190 €
Conformité NIS 2
Faire d’une obligation réglementaire une sécurité que vous pouvez démontrer.
3 à 9 mois selon le périmètre et le niveau de départdès 1 900 €
Réponse à toute demande sous 24 h ouvrées
Parler de votre besoin
Trente minutes de cadrage suffisent à savoir si « Bug bounty et VDP » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début