Programme de divulgation des vulnérabilités (VDP)

Un programme de divulgation des vulnérabilités est l'engagement formel et public que prend une organisation pour recevoir des signalements de sécurité et y donner suite. C'est l'infrastructure qui rend possible la divulgation responsable à grande échelle : un périmètre clair, un canal de signalement et un safe harbor juridique pour les chercheurs agissant de bonne foi.

Pourquoi c'est important

Des vulnérabilités seront trouvées dans tout système non trivial, que l'organisation y invite ou non. La vraie question est : que se passe-t-il ensuite. Sans VDP, un chercheur bien intentionné qui découvre une faille n'a aucun moyen sûr et légal de la signaler, et peut donc se taire, la publier en public ou s'exposer à des menaces juridiques pour avoir voulu aider. Un VDP supprime cette friction et transforme une situation conflictuelle en coopération.

Pour les organisations, un VDP est désormais proche d'une attente de base. Les agences fédérales américaines sont tenues d'en gérer un, des standards comme l'ISO/IEC 29147 codifient la pratique, et les clients réclament de plus en plus un canal de divulgation publié lors des revues de sécurité. Pour les chercheurs, les VDP sont un moyen légitime et peu risqué de contribuer et de bâtir une réputation.

Ce que contient un VDP

Les agences gouvernementales, les entreprises et, de plus en plus, les petites sociétés publient des VDP, souvent à partir de modèles comme le modèle de politique de divulgation des vulnérabilités de la CISA.

VDP vs. bug bounty

	VDP	Bug Bounty
Récompense	Reconnaissance, Hall of Fame, goodies	Numéraire, par paliers de gravité
Concurrence	Généralement faible	Élevée sur les programmes populaires
Objectif principal	Un canal sûr pour recevoir des signalements	Tests continus et incités
Idéal pour	Débutants, bâtir une réputation	Chasseurs expérimentés, revenu

Un bug bounty verse du numéraire ; un VDP offre généralement une reconnaissance. Cette seule différence change complètement la concurrence. Les programmes rémunérés attirent des milliers de chasseurs, si bien que les failles faciles disparaissent vite. Les VDP en attirent bien moins, laissant à un chercheur concentré la marge nécessaire pour travailler.

Pourquoi les débutants devraient viser les VDP en premier

Pour un chasseur débutant, un VDP doté d'un Hall of Fame restreint est l'une des meilleures premières cibles possibles. Une faible concurrence signifie un faible taux de doublons, ce qui rend votre premier signalement valide bien plus atteignable.

Pour apprendre à trouver, noter et prioriser ces programmes à faible concurrence, lisez comment choisir votre première cible de bug bounty. La discipline qui consiste à choisir le bon VDP, et à s'y tenir, est ce qui transforme un premier remerciement en palmarès durable.