Bug bounty (prime aux failles)
prime aux bogues · prime aux failles · chasse aux bugs · VDP · politique de divulgation · divulgation coordonnée
Programme par lequel une organisation invite des chercheurs en sécurité à chercher des failles dans un périmètre défini, et les récompense pour chaque vulnérabilité valide signalée.
En pratique
Le programme publie ses règles : périmètre, techniques interdites, barème des primes, engagement de ne pas poursuivre les chercheurs qui les respectent. Ce cadre contractuel, souvent géré par une plateforme spécialisée, vaut autorisation écrite pour ce qui est dans le périmètre ; tout le reste demeure une intrusion au sens de l’art. 323-1 du Code pénal. On peut commencer par une simple politique de divulgation (VDP), sans prime. En France, signaler de bonne foi une faille à l’ANSSI protège l’identité du signalant (art. L2321-4 du Code de la défense), mais ce n’est pas une immunité.
En 2016, le Pentagone a lancé « Hack the Pentagon », premier programme de bug bounty d’une administration fédérale américaine. Du 18 avril au 12 mai, 138 vulnérabilités jugées valides et uniques ont été trouvées sur cinq sites publics, pour un coût total de 150 000 dollars, bien moins qu’un audit externe classique selon le département de la Défense.
