Pas d'équipe sécurité ? Vous avez un processus et une astreinte.

Vous pouvez mener un programme de divulgation sans offrir de primes. Publiez votre canal de signalement et vos règles de test, puis recevez les rapports via le formulaire de dépôt inclus. Les récompenses sont facultatives.

Une politique de divulgation indique aux chercheurs ce qui est dans le périmètre, quelles règles de test s'appliquent et comment signaler une découverte. Vous pouvez commencer par un programme sur invitation si vous préférez travailler d'abord avec un petit groupe.

Oui. Activez le mode sur invitation dans les Paramètres du portail de sécurité et partagez le lien d'accès avec des chercheurs de confiance. Les autres visiteurs voient un formulaire de demande d'accès. Approuvez une demande depuis la barre latérale pour envoyer automatiquement une invitation.

Le formulaire de dépôt utilise un CAPTCHA et une limitation de débit. Le filtrage des rapports signale ensuite le spam présumé, avec un score de confiance et ses raisons. Votre équipe peut examiner ces évaluations.

Le filtrage par IA cherche dans chaque rapport des signaux comme des CVE inventées, des fonctions inexistantes ou des formulations recopiées d'un modèle. Chaque évaluation comporte un score de confiance et les raisons à examiner. Le filtrage consomme vos crédits IA inclus ; s'ils sont épuisés, les rapports attendent sans filtrage jusqu'à leur renouvellement. Le CAPTCHA et la limitation de débit protègent aussi le formulaire de dépôt.

Un formulaire vous donne la collecte. Chaque licence ajoute le suivi des SLA, le scoring CVSS, les fils de discussion avec les chercheurs, le suivi des primes, la gestion des documents fiscaux et les exports d'audit, au même endroit.

Continuez à l'utiliser pour piloter la conformité. La collecte et le triage des rapports se font dans Kit. Les rapports confirmés peuvent être synchronisés vers Vanta comme preuves de vulnérabilité, avec leur statut de résolution. Il n'existe pas de synchronisation Drata.

Une candidature et un rapport de vulnérabilité demandent tous deux une soumission structurée, un responsable, une échéance et un historique des décisions. Les mêmes briques servent aux deux, et nous faisons tourner notre propre programme de divulgation dessus.

La personne d'astreinte reçoit une alerte. Désignez un responsable, évaluez la gravité avec CVSS v3.1 et échangez avec le chercheur dans un seul fil. Les minuteurs SLA suivent les échéances, et la chronologie s'exporte pour revue.

Votre équipe peut assigner un rapport et en accuser réception, statuer sur les recours, prendre en charge un rapport de composant, mettre un rappel en veille et marquer un rapport en attente du chercheur. Chaque action vérifie l'identité Slack associée et les droits Kit. Les mises à jour restent sous la carte du rapport.

Les rapports restreints ne sont pas publiés dans Slack. Si un rapport existant devient restreint, Kit supprime les réponses du bot et remplace la carte par un avis sans titre, sans identifiant de rapport et sans lien. Les alertes d'astreinte arrivent toujours par e-mail, sans détail du rapport.

Oui. Exportez un dossier PDF d'incident avec la synthèse pour la direction, la chronologie, le détail CVSS, le post-mortem, l'inventaire des preuves et la page de signature.

Collecte, minuteurs SLA, scoring CVSS v3.1, tableau de triage, messages des chercheurs, suivi des primes et exports d'audit sont inclus dans chaque licence Kit. Kit n'apporte pas de réseau de chercheurs. Comparez les offres actuelles des prestataires et les chercheurs dont vous avez besoin avant de choisir.

Oui. L'export du compte rassemble programmes, rapports, évaluations, messages, primes, versements, profils de chercheurs et résultats du filtrage, dans un JSON structuré. Demandez-le dans les Paramètres du compte, puis téléchargez l'archive dans les 24 heures qui suivent sa préparation.