Bug bounty et divulgation responsable
Jusqu’ici, tous vos tests ont eu lieu dans un laboratoire. Mais beaucoup de personnes se demandent : « et si je trouve une faille sur un vrai service ? ». C’est une situation délicate, à la frontière entre bonne volonté et risque juridique. Cette leçon vous explique le cadre qui permet aux chercheurs en sécurité de contribuer de façon légitime : les programmes de bug bounty et la divulgation coordonnée. Elle vous apprend aussi à ne jamais franchir la ligne.
Rappel légal fondamental
En France, les articles 323-1 à 323-3-1 du Code pénal répriment l’accès ou le maintien frauduleux dans un système de traitement automatisé de données, l’entrave à son fonctionnement et la modification ou l’extraction frauduleuse de données. Le fait d’avoir de bonnes intentions n’efface pas l’infraction. Seule une autorisation explicite (contrat de mission ou règles d’un programme de bug bounty qui vous y autorise) place votre action dans un cadre légitime. Sans règles écrites qui vous y invitent, ne testez pas. Les textes sont consultables sur legifrance.gouv.fr.
Le bug bounty : le principe
Un programme de bug bounty (« prime aux bogues ») est une invitation publique ou privée adressée par une organisation à des chercheurs : « cherchez des failles dans ces systèmes, selon ces règles, et signalez-les-nous ; en échange, nous reconnaissons votre contribution, parfois par une récompense ». L’organisation y gagne l’œil d’un grand nombre de testeurs ; les chercheurs, un terrain d’exercice autorisé, de l’expérience et, parfois, une rémunération.
Ces programmes sont gérés soit directement par l’organisation, soit par l’intermédiaire de plateformes spécialisées qui servent de relais entre entreprises et chercheurs. Leur offre évolue, nous ne les citerons pas ici : vérifiez toujours leurs conditions actuelles avant de vous engager.
Le périmètre et les règles : le contrat de fait
Un programme sérieux publie une politique que vous devez lire intégralement avant de toucher quoi que ce soit. Elle précise généralement :
| Rubrique | Ce qu’on y trouve |
|---|---|
| Périmètre (in scope) | Les applications, domaines ou services que vous pouvez tester |
| Hors périmètre (out of scope) | Ce qui est exclu : services tiers, systèmes internes, certains types de tests |
| Types de failles recevables | Quelles catégories de vulnérabilités sont attendues, et lesquelles ne sont pas récompensées |
| Interdictions | Déni de service, ingénierie sociale, accès aux données d’autres utilisateurs, tests physiques, etc. |
| Règles de test | Limites de débit, usage de comptes dédiés, obligations de ne pas conserver de données |
| Procédure de signalement | Comment et où envoyer le rapport, quel format |
| Cadre juridique ou « refuge » | L’engagement de ne pas engager de poursuites contre les chercheurs qui respectent les règles |
| Récompenses et reconnaissance | Barème éventuel, mention publique, délais |
Respecter à la lettre ce cadre est ce qui fait la différence entre un chercheur et un contrevenant. Une règle ambiguë ? Posez la question à l’organisation avant de tester. Un système hors périmètre ? On n’y touche pas, même si une faille semble évidente.
La divulgation coordonnée
La divulgation coordonnée (ou responsable) est le processus par lequel une faille est portée à la connaissance de l’organisation concernée, de façon confidentielle, afin qu’elle puisse la corriger avant que l’information ne soit rendue publique. Les grandes étapes :
- Découverte légitime, dans le cadre autorisé.
- Arrêt immédiat dès que la faille est prouvée : pas de recherche d’impact supplémentaire, pas d’exploration de données.
- Signalement confidentiel à l’organisation, par le canal prévu (formulaire du programme, adresse de contact de sécurité, ou fichier de sécurité publié par le site).
- Échanges constructifs : répondre aux questions, fournir les précisions demandées.
- Délai de correction convenu : on laisse un temps raisonnable à l’organisation pour corriger.
- Publication éventuelle, après accord ou à l’expiration du délai convenu, en respectant la confidentialité des données et sans détails qui faciliteraient une attaque contre ceux qui n’ont pas encore corrigé.
On parle de « coordonnée » car l’objectif est partagé : que la faille soit corrigée, et que les utilisateurs soient protégés.
Que faire si vous découvrez une faille par hasard ?
Cela arrive : vous utilisez un service normalement et constatez une anomalie (vous voyez les informations d’un autre compte, une page d’administration s’ouvre sans connexion). Les bonnes pratiques :
- Arrêtez-vous : ne poursuivez pas, ne cherchez pas à « vérifier jusqu’où ça va ».
- Ne copiez pas, ne conservez pas, ne partagez pas de données de tiers.
- Notez ce que vous avez fait de façon factuelle : date, heure, page, action.
- Cherchez un canal de signalement officiel : programme de bug bounty, politique de divulgation, contact de sécurité du service.
- Si aucun canal n’existe, en France, le dispositif prévu par le Code de la défense permet, sous conditions et de bonne foi, de signaler une vulnérabilité à l’ANSSI (cyber.gouv.fr), qui peut alors relayer l’information. Vérifiez les conditions exactes sur les sites officiels.
- Ne demandez jamais de contrepartie en échange du silence : cela s’apparente à du chantage et vous place dans l’illégalité.
- Si le service concerne des données personnelles, gardez en tête que l’organisation a des obligations de notification : un signalement clair l’aide à les respecter.
Pour les particuliers victimes d’un incident, le site cybermalveillance.gouv.fr est une ressource d’assistance et d’orientation.
Ce qui distingue un chercheur d’un attaquant
| Critère | Chercheur éthique | Attaquant |
|---|---|---|
| Autorisation | Explicite, écrite | Aucune ou présumée |
| Périmètre | Respecté strictement | Ignoré |
| Données | Aucun accès au-delà de la preuve minimale | Collecte, copie, revente |
| Impact sur le service | Évité | Indifférent ou recherché |
| Information | Signalement confidentiel, délai de correction | Exploitation ou divulgation immédiate |
| Objectif | Améliorer la sécurité | Profit, nuisance |
Se préparer à devenir chercheur
- Pratiquer d’abord sur les environnements légaux (DVWA, Juice Shop, PortSwigger Academy, TryHackMe, HackTheBox) pour acquérir la méthode.
- Lire des rapports publics de chercheurs expérimentés : un excellent moyen d’apprendre le ton et la structure attendus.
- Commencer par des programmes qui acceptent les débutants et dont la politique est claire.
- Soigner ses rapports (leçon 1 du chapitre) : un rapport clair augmente la probabilité d’être pris au sérieux.
- Accepter les « doublons » et les refus : un signalement peut déjà être connu, ou jugé hors périmètre ; cela fait partie du jeu.
- Protéger sa propre sécurité : comptes dédiés, environnement de test séparé, confidentialité des échanges.
Astuce
Un fichier de contact de sécurité publié à une adresse standard sur un site (convention largement adoptée) permet à un chercheur de savoir à qui écrire. Si vous administrez un site, publiez-en un : c’est un geste simple de bonne hygiène.
À vous de jouer
Mise en situation, sans aucune manipulation technique.
- En naviguant sur un site d’association dont vous êtes membre, vous remarquez qu’en changeant un numéro dans l’adresse, vous voyez la fiche d’un autre adhérent. Listez vos cinq premiers gestes.
- Rédigez un message de signalement de quatre à six lignes, factuel, sans exagération, sans détailler de données personnelles.
- Rédigez, pour votre propre site imaginaire, une mini-politique de divulgation : périmètre, règles, contact, engagement.
Voir une solution
1) Cesser de consulter d’autres fiches ; ne rien copier ni capturer au-delà de ce qui est strictement nécessaire à décrire l’anomalie ; noter date, heure, page et action ; chercher un canal de signalement officiel ; envoyer un message factuel. 2) Message type : « Bonjour, en utilisant votre site, j’ai constaté que la page de fiche adhérent affiche des informations différentes selon un numéro présent dans l’adresse, sans vérifier que la fiche me concerne. Je me suis arrêté dès que j’ai constaté ce comportement et je n’ai conservé aucune donnée. Pouvez-vous accuser réception et m’indiquer comment vous transmettre les détails de façon sécurisée ? » 3) Politique : liste des domaines concernés, interdictions (déni de service, accès aux données d’autrui), contact de sécurité, délai de réponse, engagement de ne pas poursuivre les chercheurs de bonne foi qui respectent les règles.
À retenir
- Seule une autorisation explicite (mission ou règles d’un programme) rend un test légitime ; les articles 323-1 à 323-3-1 du Code pénal s’appliquent sinon.
- Un programme de bug bounty publie un périmètre, des règles, une procédure de signalement et un cadre de protection des chercheurs : lisez-le intégralement.
- La divulgation coordonnée : prouver minimalement, s’arrêter, signaler en confidentiel, laisser un délai raisonnable, publier avec prudence.
- Faille trouvée par hasard : s’arrêter, ne rien conserver, chercher le canal officiel, ne jamais monnayer son silence.
- S’entraîner d’abord sur les plateformes légales ; ressources officielles : cyber.gouv.fr et cybermalveillance.gouv.fr.
Il est temps de clôturer l’audit : faire le bilan de ce que vous avez accompli et préparer la suite.