Politique de divulgation des vulnérabilités

Définition

La politique de divulgation des vulnérabilités, souvent désignée par son acronyme anglais VDP pour Vulnerability Disclosure Policy, désigne le document public par lequel une organisation définit le cadre autorisant des chercheurs externes à tester certains de ses systèmes et à lui signaler les vulnérabilités découvertes, sans rémunération contrairement à un programme de bug bounty. Elle précise le périmètre autorisé, les techniques interdites, notamment le déni de service et l'exfiltration de données réelles, le canal de contact sécurisé pour le signalement, et un engagement de non-poursuite pour les chercheurs agissant de bonne foi dans le respect strict du cadre défini. Elle constitue une porte d'entrée légale essentielle pour canaliser les découvertes fortuites de chercheurs indépendants, qui autrement pourraient hésiter à signaler une faille par crainte de poursuites judiciaires, un risque documenté par de nombreux cas de chercheurs poursuivis malgré une intention défensive. Pour une organisation, publier une politique de divulgation des vulnérabilités, idéalement en s'appuyant sur des standards reconnus comme security.txt pour la découvrabilité technique du contact, réduit le délai entre la découverte d'une faille et sa remontée aux équipes de sécurité, et diminue le risque qu'une vulnérabilité non signalée légalement finisse exploitée ou divulguée publiquement sans coordination préalable.