Une offre permanente de rémunérer les chercheurs qui signalent des vulnérabilités au moyen d’un processus de divulgation défini.
Pourquoi c’est important
Cela modifie l’économie à la marge : un chercheur qui découvre une faille dispose d’une voie licite et rémunérée qui concurrence l’alternative. Cela donne aussi à un projet ce qu’un audit ne peut pas offrir — une couverture continue du code à mesure qu’il évolue, plutôt qu’un instantané d’un seul commit.
Ce que vous pouvez vérifier
Un programme de primes vaut à proportion de ses conditions : le paiement maximal rapporté à la valeur réellement en jeu, le fait que le périmètre couvre les contrats déployés ou seulement le dépôt de code, et l’existence d’un engagement publié de sphère de sécurité, par lequel le projet renonce à poursuivre les chercheurs de bonne foi.
Pas un conseil. Les définitions servent à comprendre, non à prescrire. Rien ici ne constitue un conseil financier, juridique, fiscal ou de sécurité.