Publication de mission
Commission sur la mission
Dépôt sécurisé, versé à la livraison
Par proposition d'expert
Bug bounty, c'est quoi ?
Un bug bounty (ou bugbounty, littéralement « prime au bogue ») est un programme par lequel une organisation invite des hackers éthiques à chercher des vulnérabilités dans ses sites, applications ou API, et récompense chaque faille valable qui lui est signalée.
La différence avec un test d'intrusion tient au mode de paiement et à la durée : un pentest est une mission ponctuelle, facturée au forfait ou à la journée, menée par un expert ou une équipe sur un périmètre et une période définis. Un bug bounty paie au résultat : seules les failles reproduites et acceptées donnent lieu à une récompense, et le programme peut rester ouvert plusieurs mois.
Un bug bounty ne remplace pas un premier audit. Il donne le meilleur de lui-même sur un produit déjà testé, dont les failles évidentes ont été corrigées : sinon, les premiers rapports portent sur des défauts qu'un pentest aurait trouvés en quelques jours.
Comment fonctionne un programme de bug bounty
La politique du programme
L'organisation publie ses règles : ce qui peut être testé, ce qui est interdit, comment signaler une faille, sous quel délai elle répond, et comment les récompenses sont calculées.
La recherche de failles
Les chercheurs testent le périmètre autorisé, chacun avec ses méthodes. Ils ne doivent ni accéder à plus de données que nécessaire, ni dégrader le service.
Le rapport
Chaque faille fait l'objet d'un rapport : description, étapes pour la reproduire, preuve de concept et impact estimé. Un rapport incomplet ne peut pas être validé.
Le tri et la validation
L'équipe du programme reproduit la faille, écarte les doublons et les signalements hors périmètre, puis évalue la gravité. C'est l'étape qui demande le plus de temps et de compétence.
La récompense et la correction
La faille validée est récompensée selon la grille annoncée, puis corrigée. Le chercheur peut être invité à vérifier le correctif avant la clôture du rapport.
Programme privé ou public ?
Le choix dépend de la maturité de votre sécurité et de votre capacité à traiter les rapports reçus.
Programme privé
Seuls des chercheurs invités participent. Le volume de rapports reste maîtrisé et vous savez qui teste vos systèmes. C'est le point de départ recommandé pour un premier programme.
Programme public
Toute personne qui accepte les règles peut participer. Plus de regards sur votre produit, mais aussi plus de rapports à trier, dont beaucoup de doublons. À réserver à une équipe déjà rodée.
Politique de divulgation sans récompense
Une politique de divulgation des vulnérabilités (VDP) indique simplement comment vous signaler une faille, sans prime. Elle est utile à toute organisation, et souvent la première étape avant un bug bounty.
Campagne limitée dans le temps
Un programme ouvert quelques semaines, sur une fonctionnalité ou une version précise, par exemple avant un lancement. Le périmètre est court et le budget connu d'avance.
Périmètre et règles de divulgation
Des règles écrites protègent les deux parties : le chercheur sait ce qu'il a le droit de faire, et vous savez ce que vous recevrez. Voici ce qu'une politique de programme doit préciser.
Le périmètre autorisé
La liste exacte des domaines, applications et API à tester, et ce qui est exclu : environnements de recette, services de tiers, bureaux et collaborateurs.
Les techniques interdites
Déni de service, ingénierie sociale, accès physique, scans massifs qui ralentissent le service, consultation ou copie de données de vrais utilisateurs au-delà de la preuve nécessaire.
Le canal de signalement
Une adresse ou un formulaire unique, le format attendu du rapport, et le délai sous lequel vous accusez réception puis donnez votre réponse.
La divulgation coordonnée
Le chercheur s'engage à ne rien publier avant la correction. Vous vous engagez sur un délai de correction raisonnable, et précisez si la faille pourra être rendue publique ensuite.
Le cadre juridique
Une clause d'autorisation (« safe harbor ») indique que vous ne poursuivrez pas un chercheur qui respecte les règles. En France, un accès sans autorisation à un système relève du Code pénal : l'autorisation écrite est ce qui rend la recherche légitime.
Comment se décident les récompenses
La récompense dépend de la gravité de la faille, souvent évaluée avec le score CVSS, et de son impact réel sur vos données et vos utilisateurs. Une faille qui donne accès à des comptes clients vaut plus qu'une erreur d'affichage sans conséquence.
La grille est publiée avant l'ouverture du programme, par niveau de gravité (critique, élevée, moyenne, faible). Le montant de chaque niveau dépend de votre budget et de la valeur de ce qui est protégé : c'est à vous de le fixer.
Les règles d'attribution doivent être claires : seule la première déclaration d'une faille est récompensée, une faille hors périmètre ne l'est pas, et un rapport sans preuve reproductible peut être refusé. Ce qui n'est pas écrit finit en litige.
Le bug bounty en France : cadre légal et plateformes
En France, accéder sans autorisation à un système informatique est puni par l'article 323-1 du Code pénal. Un programme de bug bounty repose donc sur une autorisation écrite : sa politique dit qui peut tester, quoi et comment, et c'est elle qui rend la recherche légitime.
Une personne qui découvre une faille en dehors de tout programme peut la signaler de bonne foi à la seule ANSSI, qui préserve la confidentialité de son identité (article L. 2321-4 du Code de la défense, issu de la loi pour une République numérique de 2016). Ce canal protège le signalement : il n'autorise pas à tester sans accord.
La plupart des programmes sont hébergés par une plateforme de bug bounty, française ou étrangère : elle apporte la communauté de chercheurs, l'outil de dépôt des rapports, souvent le tri, et le paiement des primes. Une organisation peut aussi gérer son programme en direct, ou confier à un expert indépendant la rédaction de la politique et le tri des rapports. Les normes ISO/IEC 29147 (divulgation des vulnérabilités) et ISO/IEC 30111 (traitement des vulnérabilités reçues) servent de référence pour écrire ces processus.
Devenir chasseur de bugs (bug bounty hunter)
Un chasseur de bugs est un chercheur en sécurité qui participe à des programmes de bug bounty. Les bases attendues : le fonctionnement du web et des API (HTTP, sessions, authentification), les familles de failles du référentiel OWASP, un proxy d'interception pour observer les requêtes, et surtout la capacité à écrire un rapport clair et reproductible.
Les règles valent aussi pour lui : il ne teste que le périmètre autorisé, s'arrête à la preuve nécessaire et ne publie rien avant la correction. Ses revenus sont irréguliers, puisque seule la première déclaration d'une faille est récompensée : beaucoup de chasseurs de bugs les complètent par des missions de test d'intrusion, payées au forfait.
Sur Hackersdate, les experts en cybersécurité répondent aux missions publiées par les entreprises : pentest, audit, préparation d'un programme de bug bounty. Consultez les missions ouvertes ou créez votre profil d'expert.
Lancer un programme avec un hacker éthique sur Hackersdate
Hackersdate met en relation des organisations avec des experts en cybersécurité indépendants. Vous pouvez y confier la préparation de votre programme, le pentest qui le précède, ou le tri des rapports reçus.
Publiez votre mission
Décrivez votre besoin : rédaction de la politique du programme, test d'intrusion préalable, campagne privée sur une nouvelle fonctionnalité, ou tri et validation des rapports. La publication est gratuite.
Recevez des propositions d'experts
Des hackers éthiques vous répondent avec leur approche, leur délai et leur prix. Chaque expert dépense 1 crédit pour déposer une proposition : ceux qui répondent sont intéressés par votre mission.
Choisissez et cadrez
Comparez les profils et les avis, échangez dans la messagerie, puis acceptez la proposition retenue. Fixez par écrit le périmètre et les règles d'engagement avant le début des tests.
Payez en dépôt sécurisé
Le montant est réglé par Stripe et conservé en dépôt sécurisé. Il n'est versé à l'expert qu'à la livraison, quand vous libérez les fonds et laissez votre avis. Hackersdate prélève une commission de 2 %.
Experts en cybersécurité inscrits
Des hackers éthiques indépendants, avec leur profil et leurs avis
Questions fréquentes sur le bug bounty
Préparez votre programme de bug bounty
Publiez gratuitement votre besoin et recevez les propositions de hackers éthiques indépendants.
Publier ma mission gratuitement
