Bug bounty
Un bug bounty rémunère des chercheurs indépendants à la vulnérabilité trouvée, dans un cadre contractuel défini. Il complète le pentest, mais ne le remplace pas.
Un programme de bug bounty invite des chercheurs en sécurité indépendants à tester un périmètre défini et les rémunère à la vulnérabilité valide, selon un barème croissant avec la criticité. Des plateformes comme YesWeHack ou HackerOne servent d'intermédiaires : cadre juridique, triage des rapports, paiement des primes. Notre article sur le bug bounty en pratique détaille son fonctionnement, ses limites et sa place dans une stratégie de test.
Le modèle inverse la logique de l'audit : on paie un résultat, pas un temps de travail. Sa force est la diversité des profils et la pression continue ; sa limite est l'absence de couverture garantie, les chercheurs allant vers les cibles les plus rentables. Il complète donc un test d'intrusion, il ne s'y substitue pas : le pentest apporte l'exhaustivité méthodique sur un périmètre daté, exigible par un client ou un régulateur.