En bref
Une politique de divulgation de vulnérabilités (VDP) indique où signaler une faille, ce qui est autorisé et ce que vous ferez en retour : elle se met en place vite et convient à presque toute organisation. Un bug bounty ajoute des récompenses et un flux de rapports à traiter, et l’OWASP le réserve aux organisations qui ont déjà une divulgation éprouvée et de solides processus de correction. L’ordre raisonnable est donc une politique, des tests d’intrusion réguliers, puis, si les moyens existent, un programme privé avant tout programme public.
Quelle différence entre une politique de divulgation et un bug bounty ?
Une politique de divulgation de vulnérabilités, ou VDP, est un texte public. Il donne un moyen de contact, décrit le périmètre, précise ce que le chercheur peut faire et ne peut pas faire, et dit à quel rythme vous répondez. Elle ne promet aucune récompense. Le fichier security.txt, décrit par la RFC 9116, indique son emplacement standard sur votre site.
Un bug bounty : définition est un programme qui rémunère les failles valides. Il peut être public, ouvert à tous, ou privé, réservé à des chercheurs invités, et il passe souvent par une plateforme intermédiaire qui met en relation, médiatise et parfois réalise le premier tri. Il suppose tout ce que suppose une politique, plus un périmètre précis, un barème et un budget.
Par où commencer ?
- 1Désignez qui lit les signalements et qui peut décider d’un correctif, avec un suppléant. Une adresse de messagerie sans propriétaire est la cause la plus courante de réponse oubliée.
- 2Écrivez la politique : contact, périmètre, pratiques autorisées et interdites, délai de réponse, remerciements. Faites-la relire par un juriste avant publication.
- 3Publiez-la sur une page dédiée et déclarez-la dans un fichier security.txt placé à l’adresse /.well-known/security.txt, avec au minimum les champs Contact et Expires.
- 4Informez les équipes en première ligne (accueil, support, réseaux sociaux) pour qu’un signalement soit transmis à l’équipe de sécurité au lieu d’être ignoré.
- 5Rodez le circuit sur quelques signalements : accusé de réception, reproduction, évaluation de la gravité, correction, retour au chercheur.
- 6Relevez après quelques mois le volume, les délais réels et la qualité des rapports. Ces mesures disent si un programme avec récompenses est envisageable.
Quand un programme avec récompenses devient-il pertinent ?
L’OWASP indique que, pour les petites organisations, un bug bounty représente un investissement important en temps et en ressources, et ne le conseille qu’à celles qui ont déjà un processus de divulgation mature, soutenu par des processus internes de correction solides. Les difficultés les plus courantes sont les suivantes.
- Avoir le temps et les personnes pour répondre à chaque rapport.
- Disposer d’analystes capables de trier : une part des rapports est du bruit ou de faux positifs.
- Supporter l’effet de tests menés sur des systèmes en production, y compris par des outils automatiques lancés sans être compris.
- Distinguer un test légitime d’une attaque réelle dans vos journaux.
- Voir des chercheurs sortir du périmètre et tester ce qu’ils ne devraient pas.
- Financer des récompenses qui peuvent grimper si les failles sont nombreuses.
- Gérer les désaccords sur les montants, les doublons et les signalements hors périmètre.
Que doit contenir une politique de divulgation ?
Le centre national de cybersécurité britannique (NCSC) et l’OWASP s’accordent sur le contenu minimal. Une politique claire fixe un cadre de travail avec la personne qui signale, et elle protège aussi l’organisation.
- Comment vous souhaitez être contacté, avec une option de communication sécurisée comme un formulaire web.
- Les informations que le chercheur doit joindre à son rapport.
- Ce qu’il peut attendre en retour : accusé de réception, suivi, délai.
- Ce qui est dans le périmètre et ce qui n’y est pas.
- Les pratiques interdites : déni de service, accès aux données d’autrui, ingénierie sociale.
- La position de l’organisation envers les signalements de bonne foi, rédigée avec un juriste.
Quel cadre juridique faut-il garder en tête ?
En France, l’accès frauduleux à un système d’information est réprimé par les articles 323-1 et suivants du code pénal, même sans intention de nuire. Une politique de divulgation ne vaut pas autorisation générale, et ce que vous promettez aux chercheurs, par exemple l’absence de poursuites, doit être validé par un juriste. L’OWASP le dit sans détour : demandez un avis juridique à des avocats, pas à une fiche de bonnes pratiques.
À retenir
- 1Une politique de divulgation se met en place vite et sert presque toutes les organisations ; un bug bounty vient après, si les moyens de traiter les rapports existent.
- 2Le fichier security.txt (RFC 9116) donne aux chercheurs l’adresse et la politique à consulter, au bon emplacement.
- 3Un signalement appelle un accusé de réception, une reproduction, une évaluation CVSS, un correctif et un retour au chercheur.
- 4Les engagements juridiques envers les chercheurs se font valider par un juriste, pas par un modèle trouvé en ligne.
Sources citées
- Vulnerability Disclosure Toolkit, NCSC (Royaume-Uni)
- Vulnerability Disclosure Cheat Sheet, OWASP Foundation
- RFC 9116 : A File Format to Aid in Security Vulnerability Disclosure, IETF
- Common Vulnerability Scoring System, FIRST
Comment traiter un signalement reçu ?