Programme de prime aux bugs

Définition

Le programme de prime aux bugs, ou bug bounty, est un dispositif par lequel une organisation rémunère financièrement des chercheurs en sécurité externes qui découvrent et signalent des vulnérabilités dans ses systèmes, applications ou infrastructures, selon un barème défini en fonction de la sévérité de la faille. Le programme précise le périmètre testable, les types de vulnérabilités éligibles, les règles d'engagement (interdiction de perturber le service en production, interdiction d'accéder à des données réelles d'utilisateurs) et le processus de soumission et de validation des rapports. Les récompenses varient généralement selon le score CVSS ou l'impact métier de la faille, allant de quelques centaines à plusieurs dizaines de milliers d'euros pour une vulnérabilité critique exploitable à distance sans authentification. Ces programmes peuvent être gérés en interne ou via des plateformes spécialisées qui mettent en relation les organisations et une communauté de chercheurs, en assurant la médiation, la validation technique et le versement des primes. Le bug bounty complète les audits de sécurité traditionnels et les tests d'intrusion périodiques par une couverture continue et diversifiée, exploitant la créativité d'un grand nombre de chercheurs indépendants. Il s'appuie sur une politique de divulgation coordonnée pour encadrer la publication éventuelle des failles découvertes, une fois corrigées, et nécessite une gouvernance rigoureuse pour trier efficacement un volume parfois important de rapports.