Bug Bounty (Programme de Prime aux Bogues)

Définition

Un programme de Bug Bounty, ou programme de prime aux bogues, est une initiative structurée par laquelle une organisation invite formellement des chercheurs en sécurité externes, souvent appelés hunters, à rechercher et signaler des vulnérabilités dans ses systèmes, applications ou infrastructures, en échange d'une récompense financière proportionnelle à la criticité et à l'impact démontré de chaque découverte validée. Le programme définit un périmètre précis (scope) délimitant les cibles autorisées et exclues, des règles d'engagement encadrant les méthodes de test acceptables, notamment l'interdiction des attaques par déni de service ou de l'accès non autorisé à des données réelles de production, et un barème de rémunération gradué selon la sévérité, souvent alignée sur le score CVSS de la vulnérabilité rapportée. Des plateformes intermédiaires comme HackerOne ou Bugcrowd gèrent la mise en relation, la triage initiale des rapports soumis et le versement des primes, réduisant la charge opérationnelle pour l'organisation hébergeant le programme. Contrairement à un pentest ponctuel réalisé par une équipe restreinte sur une durée limitée, le bug bounty mobilise en continu une communauté potentiellement très large de chercheurs aux profils et méthodologies diversifiés, augmentant statistiquement les chances de découverte de vulnérabilités complexes ou de logique métier, au prix d'un volume de rapports à trier généralement plus élevé qu'un test d'intrusion classique.