Kit vs une boîte security@ : le rapport arrive dans les deux cas. La preuve, non.
Un chercheur qui trouve votre faille à 2 h du matin peut déjà vous joindre — la directive de la CISA recommande nommément security@<domaine>, et la boîte mail reçoit tous les rapports qu'un portail Kit recevrait. Kit n'apporte pas de chercheurs non plus. Ce qu'une année de cette boîte ne peut pas produire, c'est la trace que l'auditeur demande en premier.
Qui devrait choisir quoi ?
Choisissez Kit si vous :
- Répondez à un auditeur qui a demandé le délai médian d'accusé de réception
- Entrez dans le périmètre du CRA — l'annexe I exige une politique de divulgation appliquée, l'annexe VII la preuve de l'adresse de contact
- Prouvez que vous traitez les rapports qui arrivent, sans en chercher de nouveaux — Kit n'apporte aucune communauté
- Avez dépassé la poignée de rapports par an, et les doublons commencent à se télescoper
- Avez besoin que ce soit en ligne avant vendredi — en libre-service, sans appel commercial
Gardez la boîte mail si vous :
- Recevez quelques rapports par an, sans que personne d'extérieur ne demande de preuves
- Êtes avant l'audit, sans ligne budgétaire ni envie d'un nouveau sous-traitant
- Voulez zéro prestataire entre un rapporteur et votre équipe
- Satisfaites à la lettre la plupart des exigences VDP — le modèle de la CISA cite une adresse e-mail comme canal acceptable
- Lisez chaque rapport le jour de son arrivée, avec un responsable capable de citer chaque fil ouvert
- Cherchez à trouver des vulnérabilités — alors aucun des deux côtés de cette page n'est la réponse ; c'est une communauté de chercheurs comme HackerOne ou Bugcrowd
Ce que la boîte mail fait bien
La boîte mail n'est pas une erreur. La directive de la CISA la recommande nommément.
Cela ne coûte rien et cela tourne déjà
Un alias sur le service que vous exploitez déjà — Google Workspace en inclut jusqu'à 30 par utilisateur sans supplément — plus les modèles de politique CC0 de disclose.io pour le texte juridique. Aucun cycle d'achat, aucun DPA, aucune déclaration de sous-traitant, aucune revue de sécurité fournisseur, rien à déployer.
Pourquoi c'est important : Pour une entreprise qui reçoit une poignée de rapports par an, c'est bien dimensionné, pas paresseux. Un outil acheté avant qu'il y ait du volume, c'est un tableau de bord sans données.
Zéro dépendance à un éditeur — les octets sont à vous
Les rapports sont des messages RFC 5322 dans une boîte qui vous appartient. IMAP, JMAP, l'export mbox et l'API Gmail savent tous les lire, et migrer revient à pointer un enregistrement MX ailleurs. Aucun prestataire ne peut abandonner votre modèle de données ni mettre la clé sous la porte avec votre historique de divulgations.
Pourquoi c'est important : Kit garde les rapports dans son propre schéma et ne propose aucune API REST ; sa sortie, ce sont des exports CSV et PDF. La boîte mail n'a jamais ce problème — même si rien de structuré n'existe non plus pour être repris plus tard dans un outil.
Le seul canal que tout rapporteur possède déjà
L'e-mail ne demande aucun compte, fonctionne depuis une adresse jetable, et fonctionne quand un portail est en panne. La BOD 20-01 recommande security@<domaine> comme l'adresse de fait des conversations sur la sécurité, la RFC 9116 accepte un Contact en mailto, et le modèle de la CISA liste la boîte mail à côté de son formulaire.
Pourquoi c'est important : Un portail qu'un chercheur trouve pénible, c'est un rapport que vous ne recevez jamais. En janvier 2026, curl, après près de sept ans sur HackerOne, a déplacé sa réception vers le signalement privé GitHub, plus [email protected] — une équipe sécurité mûre qui se rapproche de la boîte mail.
Ce que Kit fait bien
Quatre artefacts qu'une boîte mail ne crée jamais, à commencer par le compteur.
Un compteur d'accusé de réception de 72 heures qui alerte
Le compteur démarre à la soumission et ne s'arrête que lorsque le rapport quitte un statut ouvert — une première réponse ne l'arrête pas. Au dernier quart de la fenêtre, il alerte comme à risque ; passée l'échéance, il est dépassé. Une seule fenêtre pour toutes les sévérités.
La BOD 20-01 demande aux agences de fixer des délais cibles et de les suivre. Une boîte mail n'a aucun compteur ; le SLA de votre politique publiée est donc inapplicable par construction.
Des preuves qu'un auditeur peut tenir en main
MTTA et MTTR calculés à partir des transitions d'état enregistrées, des exports SOC 2 en CSV et PDF, et un dossier PDF d'incident par rapport. La chronologie de chaque rapport — reçu, accusé de réception, évalué, résolu — existe sous forme d'écritures, pas d'archéologie dans les fils d'e-mails.
Les indicateurs trimestriels de la BOD 20-01 — délai médian de réponse, rapports valides ouverts depuis plus de 90 jours — sont impossibles à calculer depuis une boîte mail, parce que les événements dont ils dérivent n'ont jamais été enregistrés comme des données.
Un security.txt qui ne peut pas expirer en silence
Kit publie tout seul un security.txt conforme à la RFC 9116 sur /.well-known/security.txt et surveille le champ obligatoire Expires, avec une alerte 14 jours avant l'échéance. Un fichier déposé à la main n'a aucun mécanisme de renouvellement.
Dans un balayage de 241 millions de domaines mené en 2026, 7,3 % des fichiers security.txt trouvés avaient déjà expiré — et la RFC 9116 avertit qu'un fichier périmé peut être pire que pas de fichier du tout.
Une réception anonyme avec pièce jointe
Un chercheur envoie son rapport sans adresse e-mail, preuve de concept en pièce jointe, depuis votre portail ou depuis un formulaire intégré à votre propre site. La solution de contournement gratuite pour une réception structurée — un formulaire Google — exige une connexion pour tout envoi de fichier.
Le modèle de VDP de la CISA impose que les rapporteurs puissent envoyer leur rapport de façon anonyme. L'outil de formulaire gratuit ne sait pas recevoir une preuve de concept anonyme ; le portail de Kit, si.
Ce que Kit n'a pas
Quatre choses que la boîte mail a et que Kit n'a pas, et ce que nous comptons faire pour chacune.
Un fournisseur de plus à justifier
Adopter Kit ajoute un sous-traitant à votre registre de fournisseurs, une ligne budgétaire récurrente, et un système de plus à justifier dans votre prochain questionnaire de sécurité. L'alias n'ajoute rien de tout cela, et Kit lui-même ne détient aujourd'hui ni attestation SOC 2 ni ISO 27001.
Allons-nous l'ajouter ? La ligne « fournisseur » est le coût de tout outil hébergé. Ce que nous maîtrisons, c'est la sortie — facturation mensuelle, exports CSV et PDF, aucun contrat annuel.
Aucun chercheur
Un VDP Kit reçoit ce qui arrive par un security.txt et un formulaire intégrable — les mêmes rapports que la boîte mail. Aucune communauté, aucun triage géré, aucun service de test d'intrusion.
Allons-nous l'ajouter ? Non. Trouver des vulnérabilités est le métier d'une communauté de bug bounty — HackerOne, Bugcrowd, Intigriti. Kit ne fait que traiter les rapports qui arrivent.
Aucune API REST
La boîte mail parle IMAP, JMAP, export mbox et l'API Gmail — des protocoles génériques déjà présents dans votre environnement technique. Kit propose des outils MCP et 11 événements webhook, et l'extraction en masse passe par des exports CSV et PDF.
Allons-nous l'ajouter ? Non prévu. MCP et les webhooks sont la surface que nous maintenons ; s'il vous faut un accès programmatique brut au corps de chaque rapport, la boîte mail l'a déjà.
Ni 0 $, ni sans limite
L'alias coûte 0 $ sur le service de messagerie que vous payez déjà, sans plafond de rapports. La réception de Kit exige un abonnement Kit, l'offre incluse avec une licence plafonne à 25 rapports par mois, et le compteur, le grand livre, les exports et le domaine personnalisé sont facturés comme un module complémentaire distinct.
Allons-nous l'ajouter ? Le plafond reste. Ce que nous pouvons défendre, c'est le contenu de l'offre incluse — une machine à états, des accusés de dépôt, une réception anonyme — jamais son volume.
Différences de philosophie
Ces deux-là reflètent des réponses différentes à la question de ce qu'un canal de divulgation vous doit ensuite.
la trace est le produit
Recevoir les rapports n'a jamais été le plus dur — la boîte mail le fait pour rien. Kit existe pour le moment où quelqu'un d'extérieur dit « montrez-moi » : un compteur qui tournait, une machine à états, un grand livre inaltérable, des exports taillés pour un audit. La réception est incluse avec une licence à €6,99 jusqu'à 25 rapports par mois ; le module complet est le module complémentaire à €49.
le canal est le processus
L'e-mail est le seul canal que tout rapporteur possède déjà. Aucun compte à créer, une adresse jetable fait l'affaire, et la BOD 20-01 recommande exactement cette forme d'adresse comme le point de départ de fait d'une conversation sur la sécurité. Ce qu'il ne sait pas faire, c'est se souvenir — pas de sévérité, pas d'état, pas d'horodatages — et le processus vit donc dans la tête d'un ingénieur et dans le contexte d'un fil.
La réalité des prix
Kit
€49/mois
le module complémentaire VDP, en plus d'un abonnement Kit à €6,99/utilisateur
- Compteur d'accusé de réception de 72 heures avec alerte de risque de dépassement
- Tableau de bord MTTA/MTTR et exports SOC 2 en CSV/PDF
- security.txt RFC 9116 publié automatiquement, avec surveillance de l'expiration
- Soumissions anonymes, notation CVSS v3.1, signalement des doublons
- Grand livre des primes inaltérable avec collecte des W-9/W-8BEN
Une boîte security@
0 $ de surcoût
un alias sur le service de messagerie que vous payez déjà
- Jusqu'à 30 alias gratuits par utilisateur sur Google Workspace
- Aucun plafond de rapports, aucun plafond d'utilisateurs, aucun cycle d'achat
- Modèles de politique et de Safe Harbor en CC0, fournis par disclose.io
- Travail de triage non budgété — curl rapporte 3 à 4 personnes par rapport, de 30 minutes à plusieurs heures chacune
- Aucun compteur d'accusé de réception et aucune trace de preuves
La réalité des prix
La boîte mail gagne sur le prix pour toujours — rien à payer, aucun plafond de rapports, aucun prestataire. La réception de Kit est incluse avec une licence à €6,99 jusqu'à 25 rapports par mois ; le compteur, le grand livre, les exports et le domaine personnalisé forment le module complémentaire à €49. Ce que cela achète, ce n'est pas de recevoir des rapports — c'est la preuve de ce qui s'est passé ensuite.
Vous quittez la boîte security@ ?
Vous allez adorer Kit si :
- Un auditeur a demandé le délai médian d'accusé de réception et la réponse dort dans des fils d'e-mails
- Votre security.txt a expiré sans que personne ne le remarque — 7,3 % des fichiers trouvés lors d'un balayage en 2026 étaient dans ce cas
- Deux chercheurs ont signalé la même faille et les deux fils ne se sont jamais croisés
- Vous triez à la main les sorties de scanners et le contenu IA bâclé — Kit filtre chaque soumission sur 12 signaux avant qu'un humain ne la lise
- Le CRA vous concerne, et son annexe VII veut la preuve de votre contact de signalement dans la documentation technique
Gardez la boîte mail si vous :
- Recevez une poignée de rapports par an et personne d'extérieur n'a demandé de preuves
- N'avez ni ligne budgétaire ni envie d'un sous-traitant de plus
- Voulez zéro prestataire entre un rapporteur et votre équipe
- Faites confiance au précédent — en janvier 2026, curl a déplacé sa réception vers le signalement privé GitHub, plus [email protected]
Portabilité des données : L'e-mail s'exporte parfaitement — mbox, IMAP, Takeout, un changement d'enregistrement MX. Rien de structuré ne l'accompagne, il n'existe donc aucun historique par rapport à emporter plus tard dans un outil. La sortie de Kit, ce sont les exports CSV et PDF, plus les dossiers PDF.
Essayez Kit gratuitement pendant 30 jours.
En libre-service, sans engagement annuel, résiliable à tout moment pendant les 30 premiers jours. Aucun commercial ne vous appellera, dans un cas comme dans l'autre.
$49€49159 zł£39 par mois, en plus d'une licence Kit
Commencer l'essai gratuit