À retenir
- Il s'agit d'une démarche légale et éthique encadrée par des règles strictes.
- Le montant de la prime dépend souvent de la gravité de la faille découverte.
- C'est un outil puissant pour améliorer la sécurité grâce à l'intelligence collective.
La prime à la faille est une récompense, généralement financière, versée par une organisation à une personne (souvent un chercheur en sécurité ou un hacker éthique) qui découvre et signale un défaut de sécurité dans son système. C'est le principe du « chasseur de primes » appliqué au code informatique : plutôt que de laisser des personnes malveillantes exploiter une erreur, l'entreprise encourage les experts à la trouver en premier pour la corriger.
Étymologie
Cette expression est la traduction française directe du terme anglais Bug Bounty. Elle se compose du mot « prime » (récompense) et de « faille » (vulnérabilité logicielle). Le concept s'est popularisé dans les années 1990, notamment avec Netscape, pour inciter la communauté mondiale à tester la solidité des logiciels en échange d'une rémunération.
Exemples d'usage
- Une plateforme comme HackerOne ou YesWeHack qui gère les programmes de primes pour des entreprises comme la SNCF ou Google.
- Un chercheur indépendant qui reçoit 5 000 € pour avoir prouvé qu'il pouvait accéder à la base de données client d'un site e-commerce via une injection SQL.
Cas d'usage
Elle intervient dans les stratégies de cybersécurité participative. Les entreprises lancent des programmes (publics ou privés) pour tester en continu leurs applications web, leurs API ou leurs objets connectés, complétant ainsi les audits de sécurité classiques effectués par des cabinets spécialisés.
Bonnes pratiques
Pour l'organisation, il est crucial de définir un périmètre (scope) précis : quels serveurs peuvent être testés et lesquels sont interdits. Pour le chercheur, la règle d'or est la divulgation responsable : ne jamais publier la faille avant que l'entreprise n'ait eu le temps de la corriger.
Synonymes
Antonymes
Conseil
Si vous débutez, inscrivez-vous sur des plateformes de Bug Bounty. Elles proposent souvent des environnements de test (sandboxes) et des tutoriels pour apprendre à identifier les failles sans risquer de causer des dommages réels ou d'enfreindre la loi.
Questions fréquentes
Est-ce légal de chercher des failles pour toucher une prime ?
Oui, mais uniquement si l'organisation a ouvert un programme de 'Bug Bounty'. Hacker un système sans autorisation, même pour aider, reste un délit.
Combien peut-on gagner ?
Cela varie de quelques dizaines d'euros pour une faille mineure à plusieurs centaines de milliers d'euros pour des vulnérabilités critiques chez des géants comme Apple ou Microsoft.