Bug bounty
Un bug bounty rémunère des chercheurs indépendants à la vulnérabilité trouvée, dans un cadre contractuel défini. Il complète le pentest, mais ne le remplace pas.
Un programme de bug bounty invite des chercheurs en sécurité indépendants à tester un périmètre défini, et les rémunère à la vulnérabilité valide, selon un barème croissant avec la criticité. Des plateformes comme YesWeHack ou HackerOne servent d'intermédiaires : elles fixent le cadre juridique, gèrent le triage des rapports et le paiement des primes. Le modèle inverse la logique de l'audit : on ne paie pas un temps de travail, on paie un résultat.
Ses forces sont réelles : une diversité de profils et de techniques qu'aucune équipe seule ne réunit, une pression continue plutôt qu'un passage annuel, et un coût aligné sur les découvertes. Mais ses limites le sont tout autant. Rien ne garantit la couverture, les chercheurs allant naturellement vers les cibles les plus rentables ; il n'existe pas de rapport d'assurance attestant que le périmètre a été testé méthodiquement ; et le triage des doublons comme des rapports hors sujet demande une équipe interne déjà rodée.
Le bug bounty complète donc un test d'intrusion, il ne s'y substitue pas : le pentest apporte l'exhaustivité méthodique sur un périmètre daté, exigible par un client ou un régulateur, le bounty ajoute la profondeur du temps long. Notre article sur le déroulement d'un pentest montre ce que couvre l'exercice méthodique, et un pentest web blackbox reste le point de départ avant d'ouvrir un programme public.
Le cadre juridique français
Un programme de bug bounty n'est pas seulement un contrat commercial : il donne au chercheur l'autorisation sans laquelle ses tests tomberaient sous l'article 323-1 du code pénal. La portée publiée du programme fait office de mandat, ce qui explique la précision maniaque des règles d'engagement, périmètre, techniques interdites, comptes de test, charge maximale acceptée. En marge, l'article L.2321-4 du code de la défense protège depuis 2016 la personne qui signale de bonne foi une faille à l'ANSSI, laquelle peut préserver son anonymat vis-à-vis de l'éditeur. Ce n'est pas une autorisation de tester, seulement une protection du signalement.
Ce qu'il faut avoir avant d'ouvrir un programme
Un bug bounty ouvert sans préparation coûte plus qu'il ne rapporte. Il faut quelqu'un capable de trier et de reproduire un rapport dans la journée, sans quoi les bons chercheurs partent ailleurs. Il faut une capacité de correction rapide, sans quoi les mêmes failles reviennent sous des formes voisines. Il faut enfin un barème crédible : trop bas, il fait fuir les profils sérieux. La séquence qui marche commence par un pentest web blackbox pour purger les défauts évidents, se poursuit par un programme privé sur invitation, et n'ouvre au public qu'ensuite.
Questions fréquentes
Bug bounty ou pentest, que faire en premier ?
Le pentest. Il donne une couverture méthodique et un rapport daté, exigible par un client ou un assureur, et il purge les vulnérabilités faciles qu'un programme public paierait au prix fort. Le bug bounty prend le relais ensuite, dans la durée.
Combien coûte un programme de bug bounty ?
Le budget se compose de trois lignes : les primes, la commission de la plateforme, et le temps interne de triage, presque toujours sous-estimé. Contrairement à un audit, le montant n'est pas connu à l'avance, ce qui suppose un plafond et une politique de paiement écrite.
Faut-il une politique de divulgation même sans programme payant ?
Oui, et cela coûte peu : une page listant un contact de sécurité et les règles de signalement, doublée d'un fichier security.txt à la racine du site. Sans elle, un chercheur de bonne foi n'a aucun moyen fiable de vous joindre et finit par écrire publiquement.