Votre premier programme de divulgation de vulnérabilités. En ligne en 5 minutes.

Un VDP n'est pas un programme de primes : vous n'offrez aucune récompense. C'est un canal documenté et conforme pour que les chercheurs signalent les failles. SOC 2 Type II, les assureurs cyber et les grands comptes en exigent de plus en plus la preuve. Le palier gratuit de Kit vous donne exactement cela, sans le moindre engagement financier.

Les chercheurs regardent déjà. Ce qu'un VDP change, c'est l'endroit où atterrit leur trouvaille. Sans conditions de sphère de sécurité (Safe Harbor) publiées, vous signaler une faille reste un risque juridique : le chercheur bien intentionné publie ailleurs. Publiez ces conditions et il vient vous voir en premier.

Oui. Passez votre portail en mode sur invitation dans les Paramètres du portail de sécurité et Kit génère un jeton d'accès secret. Partagez l'URL d'invitation directement avec les chercheurs de confiance. Un clic leur ouvre une session persistante. Toute autre personne qui visite le portail tombe sur un court formulaire de demande d'accès, pas sur une impasse. Les demandes en attente s'affichent avec un badge dans votre barre latérale ; un clic les approuve et envoie automatiquement son lien d'invitation au chercheur.

Le formulaire de dépôt passe par un CAPTCHA et une limitation de débit, puis note ce qui survit : CVE inventées, fonctions hallucinées, formulations toutes faites. Plus de 80 % du bruit est filtré avant d'atteindre votre file d'attente.

Chaque rapport entrant est analysé avec un score de confiance et des signaux nommés : CVE inventées, fonctions hallucinées, formulations toutes faites. Les rapports suspects sont marqués pour revue avant de coûter une minute à votre équipe. Avec le CAPTCHA et la limitation de débit, plus de 80 % du bruit n'atteint jamais votre file d'attente.

Un formulaire vous donne la collecte. Il ne vous donne pas le suivi des SLA, le scoring CVSS, l'historique des statuts, les fils de discussion avec les chercheurs, le paiement des primes, la gestion des documents fiscaux ni l'export SOC 2 en un clic. Kit regroupe tout cela : vous passez un après-midi à le déployer, pas un sprint d'ingénierie à le construire.

Parfait. Vanta et Drata vérifient que vous avez un VDP. Kit le fait tourner. Activez le VDP de Kit, pointez votre outil de conformité vers votre security.txt publié, et la case est cochée avec un vrai programme derrière. Avec le module complémentaire, Kit synchronise en plus les rapports confirmés dans Vanta comme preuves de vulnérabilité pour SOC 2 CC7.1 et ISO 27001 A.8.8. Résolvez un rapport dans Kit et Vanta l'enregistre comme corrigé à la synchronisation suivante.

Kit est né dans le recrutement, mais la mécanique en dessous est la même : une collecte structurée, un minuteur SLA, un export d'audit. Le VDP la braque sur une autre file. Nous y faisons tourner notre propre programme de divulgation.

Quand un rapport critique arrive, Kit prévient votre équipe immédiatement. Ensuite : vous le triez, vous le notez en CVSS v3.1, vous échangez avec le chercheur dans un seul fil, vous désignez un responsable et vous le faites courir contre le minuteur SLA. Le jour où votre auditeur réclame des preuves, toute la chronologie s'exporte.

Du triage. Chaque rapport publie une seule carte vivante que Kit met à jour sur place, et l'historique se déroule dans son fil. Depuis Slack, votre équipe peut assigner un rapport, en accuser réception (ce qui arrête le minuteur SLA d'acquittement), accepter ou rejeter un recours, prendre en charge un rapport de composant, mettre en veille un rappel de blocage ou marquer le rapport en attente du chercheur. Chaque clic est réautorisé : d'abord l'identité Slack confirmée de la personne qui clique, puis les mêmes contrôles de permissions que dans l'application.

Marquez un rapport comme restreint et il n'est jamais publié dans Slack : ni carte, ni fil. L'audience d'un canal n'est pas une permission Kit, donc rien de sensible n'est laissé à la discipline du canal. Si un rapport devient restreint alors que son fil existe déjà, Kit neutralise le fil : les réponses du bot sont supprimées et le message racine est remplacé par un avis neutre, sans titre, sans identifiant de rapport et sans lien. L'alerte d'astreinte se déclenche quand même pour que le minuteur SLA ne tourne pas dans le vide, mais par e-mail uniquement, sans aucun détail du rapport.

Oui. Chaque rapport s'exporte en dossier PDF d'incident : synthèse pour la direction, chronologie complète, détail CVSS, post-mortem, inventaire des preuves et page de signature. Un clic, un fichier, prêt pour le classeur d'audit.

HackerOne et Bugcrowd proposent tous les deux un formulaire de soumission gratuit. Le palier gratuit de Kit aussi. La différence se joue après l'arrivée d'un rapport : Kit y ajoute les minuteurs SLA, le scoring CVSS v3.1, un triage en kanban, un fil avec le chercheur, le versement des primes et les exports SOC 2, pour 49 $/mois en plus de la licence. Le jour où Kit ne vous suffit plus, tout l'historique du programme s'exporte en CSV ou en PDF — résumés des rapports, scores CVSS, tenue des SLA, journaux d'échanges et grand livre financier.

Oui. L'export complet de Kit rassemble tout ce que contient votre VDP — programmes, rapports, évaluations, messages, primes attribuées, versements, profils de chercheurs et résultats du filtrage — dans un JSON structuré. Un clic depuis les Paramètres du compte. Vous avez 7 jours pour télécharger l'archive. Votre historique de sécurité vous appartient.