Trouver une faille, c’est une chose. Savoir où la signaler pour être pris au sérieux et payé correctement en est une autre. Beaucoup de jeunes hackers éthiques passent des mois sur des CTF puis restent bloqués au moment de franchir le pas vers un vrai programme de bug bounty : quelle plateforme choisir, quel niveau est attendu, comment fonctionne la rémunération.
Ce comparatif couvre les quatre plateformes qui structurent aujourd’hui le marché : HackerOne, Bugcrowd, YesWeHack et Intigriti. Chacune a sa logique, son public et ses points forts. Le bon choix dépend surtout de votre niveau et du type de programmes que vous visez.
Sommaire
Tableau comparatif rapide
| # | Plateforme | Origine | Communauté | Récompenses | Idéal pour |
|---|---|---|---|---|---|
| 1 | HackerOne | États-Unis | 1,5 M+ chercheurs | 50 € à 100 000 €+ | Volume de programmes |
| 2 | Bugcrowd | États-Unis | 500 000+ chercheurs | 50 € à 5 000 €+ | Triage managé |
| 3 | YesWeHack | France | 135 000+ chercheurs | 50 € à 10 000 €+ | Programmes francophones et publics |
| 4 | Intigriti | Belgique | 50 000+ chercheurs | 50 € à 5 000 €+ | Débuter en douceur |
1. HackerOne, le plus gros volume de programmes
États-Unis · Plateforme de référence historique du secteur
HackerOne reste la plateforme la plus citée du secteur, avec plus d’un million et demi de chercheurs inscrits et un catalogue de programmes qui couvre presque tous les secteurs, de la tech aux médias en passant par le transport. C’est aussi la plateforme qui héberge Hacker101, une ressource de formation gratuite pensée pour les débutants.
La contrepartie de ce volume, c’est la concurrence. Sur les programmes publics les plus connus, des centaines de chercheurs testent le même périmètre en parallèle. Trouver une faille encore inconnue demande de la méthode, pas seulement de la persévérance.
- Côté positif
- Le plus grand choix de programmes, des ressources de formation gratuites, une réputation qui pèse sur un CV ou un profil LinkedIn.
- Le point faible
- Une concurrence forte sur les programmes publics grand public, ce qui rallonge le temps avant les premières validations.
Tous niveaux
2. Bugcrowd, le triage géré par des experts
États-Unis · Programmes gérés, matching par compétence
Bugcrowd se distingue par son fonctionnement en triage managé : une équipe interne valide et priorise les rapports avant qu’ils n’arrivent chez le client. Pour un chercheur, cela veut dire des retours généralement plus rapides et plus structurés qu’un programme auto-géré.
La plateforme utilise aussi un système de matching, CrowdMatch, qui oriente les chercheurs vers des programmes correspondant à leurs compétences déclarées. C’est utile pour ne pas passer des heures à chercher un programme adapté à son niveau.
- Côté positif
- Un triage rapide, des retours de qualité, et un système de matching qui évite de perdre du temps sur des programmes hors de portée.
- Le point faible
- Une communauté un peu moins internationale que HackerOne sur certains secteurs de niche.
Débutant à confirmé
3. YesWeHack, la plateforme française
France · Hébergement européen, partenaire d’organismes publics
YesWeHack est la seule plateforme majeure du secteur fondée et opérée en France. Son infrastructure est hébergée en Europe et certifiée sur plusieurs normes ISO 27001, un argument qui pèse pour les organisations soumises à des contraintes de souveraineté des données.
C’est aussi la plateforme qui travaille le plus avec des acteurs publics français : plusieurs ministères, la Direction interministérielle du numérique et des applications d’État sont passés par YesWeHack pour leurs programmes de sécurité. Pour un chercheur basé en France, c’est un accès direct à des cibles institutionnelles rarement présentes sur les plateformes américaines. La plateforme propose également le Dojo, un espace d’entraînement gratuit pensé pour progresser avant de se lancer sur un vrai programme.
- Côté positif
- Proximité avec les programmes francophones et institutionnels, souveraineté des données, espace d’entraînement intégré pour progresser.
- Le point faible
- Une communauté plus réduite que HackerOne, donc moins de programmes disponibles à l’instant T sur certains secteurs.
Débutant accepté (Dojo)
4. Intigriti, l’onboarding le plus accessible
Belgique · Plateforme européenne réputée pour son accueil des débutants
Intigriti s’est construit une réputation particulière sur un point précis : l’accueil des nouveaux chercheurs. L’onboarding est plus progressif que sur les grosses plateformes américaines, et le triage des rapports reste transparent, avec un retour rapide même sur un premier rapport imparfait.
La plateforme reste plus petite que HackerOne ou Bugcrowd, mais elle a gagné en crédibilité ces dernières années, avec des programmes de grands comptes internationaux qui ont choisi Intigriti comme point d’entrée européen. Voir les programmes actifs sur Intigriti donne une bonne idée du niveau de diversité disponible aujourd’hui.
- Côté positif
- L’onboarding le plus doux du marché, une communauté à taille humaine, des retours rapides même pour un premier rapport.
- Le point faible
- Moins de programmes disponibles que sur les deux leaders américains, donc un choix plus restreint une fois le niveau confirmé atteint.
Idéal débutant
Bug bounty et cadre légal en France, ce qu’il faut savoir
C’est le point que trop d’articles passent sous silence. Un programme de bug bounty n’est pas un blanc-seing pour tester n’importe quel système d’une entreprise. Il définit un périmètre précis, appelé scope, et une autorisation écrite qui couvre exactement ce périmètre.
En France, l’accès ou le maintien frauduleux dans un système de traitement automatisé de données est puni par l’article 323-1 du code pénal. Un programme de bug bounty écarte ce risque, mais uniquement dans les limites du scope défini. Sortir de ce périmètre, même sans intention malveillante, fait basculer une action légitime dans l’illégalité.
Trois réflexes à prendre avant tout premier rapport. Lire intégralement les règles du programme, pas seulement le scope. Documenter chaque étape de son test, ce qui sert aussi bien à rédiger un rapport crédible qu’à prouver sa bonne foi en cas de litige. Ne jamais exploiter une faille au-delà de ce qui est nécessaire pour la démontrer, notamment sur des données personnelles.
Par où commencer selon votre niveau
Le choix de plateforme dépend surtout d’où vous en êtes dans votre progression.
Vous débutez, premiers pas en dehors des CTF. Intigriti ou le Dojo de YesWeHack sont les points d’entrée les plus adaptés. Les retours sont rapides, la communauté moins écrasante, et les premiers programmes de divulgation de vulnérabilités (VDP, non rémunérés mais moins compétitifs) permettent de se roder sans pression financière.
Vous avez déjà quelques validations à votre actif. HackerOne et Bugcrowd ouvrent l’accès à des programmes plus variés et à des récompenses plus élevées. C’est aussi le moment de se spécialiser sur un type de cible (web, mobile, API) plutôt que de tout tester.
Vous visez des cibles françaises ou institutionnelles. YesWeHack reste incontournable, avec un accès direct à des programmes publics rarement présents ailleurs.
Le bug bounty s’apprend, comme le reste du pentest
Choisir la bonne plateforme ne remplace pas une méthodologie solide. Les étudiants de Guardia Cybersecurity School s’entraînent sur des CTF et des audits en conditions réelles dès la première année, avant de se confronter aux premiers programmes de bug bounty.
Guardia Cybersecurity School vous accompagne
Trouver une faille est une chose. Savoir la trouver de façon méthodique, la documenter, et comprendre les enjeux juridiques qui l’entourent en est une autre. C’est ce que travaillent nos formations en cybersécurité, du Bac au Bac+5.
Questions fréquentes
Quelle est la meilleure plateforme de bug bounty pour débuter ?
Intigriti et Bugcrowd sont généralement les plus accessibles pour un premier programme, grâce à un onboarding plus progressif et une triage plus rapide. YesWeHack propose aussi un espace d’entraînement dédié, le Dojo, pensé pour les débutants. HackerOne reste une référence, mais sa communauté de plus d’un million de chercheurs rend la concurrence plus rude sur les programmes publics les plus connus.
Faut-il être expérimenté pour se lancer dans le bug bounty ?
Non, mais il faut des bases solides en tests d’intrusion web avant de chercher ses premières failles en conditions réelles. La plupart des hackers éthiques commencent par des CTF et des labs d’entraînement, puis passent aux programmes de divulgation de vulnérabilités, moins compétitifs que les programmes rémunérés, avant de viser les premières récompenses.
Comment les hackers éthiques sont-ils payés sur ces plateformes ?
Chaque programme fixe sa propre grille de récompenses selon la criticité de la faille trouvée. Les montants vont généralement de quelques dizaines d’euros pour une vulnérabilité mineure à plusieurs milliers d’euros pour une faille critique, avec des primes exceptionnelles bien plus élevées sur certains programmes très exposés. Le paiement passe par la plateforme, qui gère la conversion et le virement une fois le rapport validé.
HackerOne ou YesWeHack, quelle différence ?
HackerOne est américaine et affiche le plus grand volume de programmes et la plus grande communauté au monde. YesWeHack est française, héberge ses données en Europe et travaille avec des organismes publics français. Pour un chercheur basé en France qui vise des programmes francophones ou institutionnels, YesWeHack a un net avantage de proximité.
Le bug bounty est-il légal en France ?
Oui, à condition de rester strictement dans le périmètre autorisé par le programme. Un programme de bug bounty constitue une autorisation écrite de tester certains systèmes, ce qui écarte les poursuites au titre de l’accès frauduleux à un système de traitement automatisé de données. Sortir du scope défini, même par curiosité, fait basculer l’action dans l’illégalité.
Peut-on vivre du bug bounty à temps plein ?
Une minorité de chercheurs très expérimentés en vit exclusivement, mais les revenus restent irréguliers et dépendent fortement du nombre de programmes actifs et de la concurrence sur chacun. La majorité des hackers éthiques pratiquent le bug bounty en complément d’un poste de pentester ou d’analyste sécurité.
