Korben, roi d’internet, logo bébé avec des lunettes en mode thug life Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

Korben Upgrade your mind

10 bonnes raisons de lancer un programme de bug bounty

Avant de rentrer dans le vif du sujet, j’ai quand même un petit truc à vous dire :

=== BOUNTY FACTORY EST OUVERT A TOUS ! ===

=== VOUS POUVEZ ENFIN VOUS INSCRIRE ===

Si vous n’êtes pas encore familier avec ce terme, sachez que le Bug Bounty est un bon moyen de parfaire la sécurité informatique de votre business. Il s’agit d’une récompense, souvent financière, accordée par une entreprise, à tous ceux qui découvrent une faille dans son site, son application, ses services…etc.

Beaucoup de professionnels connaissent encore très mal cette pratique inventée par Netscape en 1995 et c’est bien dommage, car elle a de nombreux avantages. Pour vous les exposer, mais aussi pour fêter l’ouverture au public cette semaine, de BountyFactory, et le lancement lors de la Nuit du Hack du Bug Bounty privé d’OVH, j’ai choisi de vous donner les 10 bonnes raisons de lancer un programme de Bug Bounty.

Après cela, vous serez forcement convaincu ! J’en suis certain !

1/ Ça permet d’avoir un retour direct sur les failles découvertes.

En effet, lorsque quelqu’un découvre une faille sur votre site, il dispose de plusieurs options. Vous prévenir (et ça, c’est cool), passer son chemin, exploiter la faille, ou la revendre à quelqu’un d’autre. Avec ces 3 dernières options, vous n’avez aucun retour constructif, ni même la connaissance qu’une faille existe. Vous restez donc exposé et risquez à tout moment de basculer dans un cauchemar. Le Bug Bounty permet d’être proactif sur sa sécurité en amenant cette information cruciale jusqu’à vous.

gif-keyboard-14470833452978696340

2/ Vous payez uniquement au résultat.

C’est vous qui fixez les montants des récompenses et seules les failles qui impliquent une action corrective de votre part sur la configuration de votre serveur ou votre code, doivent être payées.

gif-keyboard-6682850652117908518

3/ Ça permet d’intégrer la sécurité dès le démarrage d’un projet.

Les audits de sécurité traditionnels restent indispensables mais un Bug Bounty permet de compléter votre arsenal défensif. Ça permet d’intégrer la notion de sécurité dès le démarrage de votre projet sans engager tout de suite trop de frais. Il est recommandé de démarrer par un Bug Bounty privé qui sera un peu plus onéreux mais qui vous permettra de bénéficier du retour des meilleurs hunters (Top 20 / Top 50 / Top 100) afin de colmater les failles les plus évidentes. Ensuite, une fois qu’un bon niveau de sécurité a été atteint, vous pourrez rendre public votre programme.

gif-keyboard-13958531239101577005

4/ Vous profitez d’une expertise variée

Dans le cadre d’un audit de sécurité ou d’un contrôle en interne par vos équipes, vous disposez d’un champ d’expertise limité à quelques personnes. Avec le Bug Bounty, ce seront des dizaines, voire des centaines de personnes (hunters) qui se pencheront sur la sécurité de votre site. Vous bénéficierez de leur expérience riche et variée, amenant naturellement à un nombre plus important de failles découvertes.

gif-keyboard-11646099831328311055

5/ Vous n’êtes pas limité dans le temps

Là ou un audit intervient une à deux fois par an, sur une durée de quelques jours, le Bug Bounty permet de profiter d’une veille agile et constante 7j/7j, 24h/24h, et cela même si votre code évolue.

gif-keyboard-8026611570609041138

6/ Vous évitez le marché noir ou les exploitations sauvages

Même si personne ne pourra jamais vous le garantir à 100%, en proposant un programme de Bugs Bounty, vous cassez le marché noir et vous remettez dans le droit chemin, des gens qui auraient été tentés d’exploiter une faille découverte. Vous êtes proactif sur votre sécurité, et cela vous permet de vous protéger plus efficacement, en évitant un éventuel bad buzz.

gif-keyboard-6600518337831580757

7/ Vous gardez le contrôle

C’est vous qui définissez le périmètre. Ainsi, cela vous permet d’y aller progressivement en proposant aux hunters uniquement les sites, applications ou services que vous avez sélectionnés. C’est vous qui choisissez le montant et le type des récompenses. C’est vous qui décidez si votre programme de Bug Bounty doit être lancé en public ou en privé. Et vous pouvez mettre en pause ce programme à tout moment afin de prendre le temps de corriger les failles découvertes. Vous avez le contrôle à 100%.

gif-keyboard-14919646642362918608

8 / Vous montez en compétence

Que ce soit pour vous ou pour vos équipes sécurité ou développement, chacun trouvera de quoi monter en compétences grâce aux retours que vous feront les hunters. Ainsi, vos développeurs seront sensibilisés et leurs prochaines productions seront beaucoup plus résistantes en termes de sécurité.

gif-keyboard-7229330231984053878

9/ Ça permet de faire un bon coup de comm

Communiquer autour du fait que vous avez un programme de Bug Bounty permet de rassurer quant à la robustesse de vos systèmes et met en valeur votre état d’esprit proactif sur le sujet de la sécurité. Si en plus, vous donnez de jolies récompenses, votre image n’en sera que plus belle auprès de la communauté des experts en sécurité.

gif-keyboard-16316865389633782960

10/ C’est simple !

Contrairement à ce qu’on pense, lancer un programme de Bug Bounty n’est pas compliqué. Vous pouvez choisir de le faire par vous même ou opter pour une plateforme comme la mienne Bounty Factory, qui vous guidera pas à pas. Attention toutefois, un programme de Bug Bounty, ça se prépare. Vous devez établir le bon périmètre, le bon montant des récompenses, et il faut pouvoir réagir vite pour répondre aux hunters, éviter les doublons, qualifier la criticité des failles, puis les corriger. Chez Bounty Factory, on vous accompagne pour rédiger le meilleur périmètre possible et on propose même, si ça vous intéresse, une prise en charge totale de votre programme pour que vous puissiez vous concentrer sur autre chose que ça.

gif-keyboard-9708205989847002940

Voilà ! Si avec ça, vous n’êtes pas convaincu, c’est que je ne peux plus rien faire pour vous. Sachez enfin que Bounty Factory est conçu et hébergé à 100% en France et que tous nos partenaires, qu’ils soient techniques (paiement, signature électronique…Etc) ou commerciaux (pour le Program Manager…etc), sont à minima localisés en Europe et respectent tous la législation Européenne.

Quant à ceux qui voudraient devenir hunters et s’essayer à quelques programmes de Bug Bounty, pour arrondir les fins de mois ou gagner en compétence, la plateforme Bounty Factory est enfin ouverte à tous, donc inscrivez-vous et rejoignez la communauté ! Une fois votre compte créé, vous verrez les programmes publics et les entreprises qui ont opté pour un programme privé, comme OVH, pourront vous inviter à y participer.

Et si vous avez des questions, prenez contact via le formulaire de Bounty Factory ou écrivez moi directement et je répondrai à toutes vos questions.


Travis Touch – Traducteur Électronique Intelligent avec 105 langues

Traductions faciles & Hotspot Internet

105 Langues

Travis Touch est le traducteur intelligent par excellence qui tient dans la paume de votre main. Créez des liens significatifs avec les personnes que vous rencontrez. Que ce soit pour vos loisirs ou les affaires, Travis Touch permet un monde sans barrières linguistiques, traduisant à partir de 105 langues, plus que n’importe quel autre appareil.

Travis Touch écoute ce que vous dites, le traduit dans la langue sélectionnée et lit la traduction en temps réel par son haut-parleur. Votre interlocuteur peut alors s’exprimer dans sa propre langue et Travis traduira pour vous.

En Savoir +



Réponses notables

  1. Hébergé en France, je ne suis pas sûr que ce soit maintenant un gage de qualité/sécurité, vu la politique menée depuis environ 2 ans ; ça revient un peu à faire la même chose (sinon pire) qu’héberger aux USA…

Continuer la discussion sur Korben Communauté

2 commentaires supplémentaires dans les réponses

Participants

Installer le shell Bash (Linux) sous Windows 10

L’année dernière, ça ne vous a pas échappé, Bash a fait son apparition sous Windows 10. C’est pour moi, la meilleure chose qui soit arrivée à Windows depuis un moment, car ça permet de lancer des outils Linux et de développer ses propres scripts Shell directement sous Windows. Le pied !

Mais même si c’est parfaitement fonctionnel, il faut quand même…

Lire la suite


Plus de 60 idées pour votre Raspberry Pi

Nous sommes nombreux à nous être procuré un petit ordinateur Raspberry Pi pour nous lancer dans des projets de ouf malade… C’est très cool, mais à part le classique Media Center XBMC, qu’avez-vous fait avec votre Raspberry Pi ?

Si vous séchez niveau idées, voici une petite sélection…

Lire la suite


Une astuce pour rendre Windows 10 plus rapide

Si vous trouvez que Windows 10 est un peu lent, que vos applications ne se lancent pas très vite, que vos compilations prennent du temps, voici une petite astuce débusquée par Brominou pour accélérer le bouzin.

Cliquez dans la zone de recherche de la barre Windows et tapez le mot clé « Performances ». Puis cliquez sur « Régler l’apparence et les performances de Windows » …

Lire la suite


Changer d’adresse IP rapidement

Une petite astuce pour ceux qui ne connaissent pas. Comment changer d’adresse IP à la volée.
Il suffit d’en demander une nouvelle à son provider si celui-ci accepte les IP dynamiques. Pour vérifier que vos manipulation ont eu l’effet escompté, vérifiez quelle est votre adresse IP….

Lire la suite