À retenir
- C'est une incitation financière pour encourager le piratage éthique.
- Elle permet de corriger des faiblesses avant qu'elles ne soient exploitées par des cybercriminels.
- Elle s'inscrit dans une démarche de transparence et de collaboration avec la communauté informatique.
Une prime à la faille détectée est une récompense, souvent financière, versée par une entreprise à un chercheur en sécurité informatique qui découvre et signale un défaut de protection dans ses logiciels ou ses serveurs. C'est un peu comme si une banque offrait une récompense à un serrurier qui parviendrait à trouver un moyen d'ouvrir ses coffres-forts sans la clé, afin de pouvoir réparer le problème avant que des cambrioleurs n'en profitent.
Étymologie
Le terme est une locution française calquée sur le concept anglophone de Bug Bounty. Il associe la notion de gratification (la prime) à celle d'imperfection logicielle (la faille). Historiquement, ce modèle s'est démocratisé dans les années 1990, notamment avec Netscape, pour inciter la communauté des passionnés à améliorer la sécurité des produits.
Exemples d'usage
- Une plateforme de commerce électronique qui verse 5 000 euros à un expert ayant trouvé un moyen de contourner le système de paiement.
- Le programme permanent de Google qui rémunère les chercheurs identifiant des vulnérabilités critiques dans le navigateur Chrome.
- Une administration publique qui offre des cadeaux ou une reconnaissance officielle (hall of fame) pour le signalement d'une fuite de données potentielle.
Cas d'usage
Ce concept intervient principalement dans la cybersécurité proactive. Les entreprises lancent des programmes de « Bug Bounty » pour compléter leurs tests de sécurité internes. Cela permet de mobiliser des milliers de regards différents sur un système, augmentant ainsi les chances de trouver des erreurs complexes que les équipes internes auraient pu ignorer.
Bonnes pratiques
Pour l'organisation, il est indispensable de définir un cadre légal strict (le périmètre) précisant quels serveurs peuvent être testés et quelles méthodes sont interdites. Pour le chercheur, la règle d'or est la divulgation responsable : ne jamais rendre la faille publique avant que l'entreprise n'ait eu le temps de la corriger.
Synonymes
Antonymes
Conseil
Si vous débutez, ne tentez jamais de tester la sécurité d'un site sans autorisation explicite, car cela est puni par la loi. Pour vous exercer légalement et tenter de décrocher vos premières primes, inscrivez-vous sur des plateformes spécialisées (comme HackerOne ou YesWeHack) qui listent les entreprises proposant officiellement ces programmes.
Questions fréquentes
Est-ce légal de chercher des failles pour toucher une prime ?
Oui, mais uniquement si l'organisation a officiellement ouvert un programme de récompense et que vous respectez scrupuleusement ses règles.
Toutes les failles sont-elles rémunérées au même prix ?
Non, le montant dépend généralement de la gravité de la faille et de la difficulté à l'exploiter.
Qui peut participer à ces programmes ?
En théorie, n'importe quel informaticien ou passionné, bien que cela demande des compétences pointues en sécurité informatique.