Rédaction de rapports de bogues de qualité

Un rapport de grande qualité est analysé plus rapidement, risque moins d’être classé comme doublon ou comme simple information, reçoit une évaluation précise de sa gravité et renforce votre réputation auprès des programmes. Les rapports de mauvaise qualité — même lorsqu’ils concernent des vulnérabilités critiques — peuvent être rejetés ou sous-évalués.

Tout rapport de qualité comprend : le titre de la vulnérabilité, une évaluation de la gravité accompagnée d’une justification CVSS, l’actif affecté (URL/point de terminaison), une description du problème, une reproduction détaillée étape par étape, une preuve de concept, une évaluation de l’impact et une correction suggérée.

Un bon titre est précis et informatif : « IDOR sur /api/v2/users/{id} permet à tout utilisateur authentifié d’accéder aux données privées d’un profil » est préférable à « Contournement de l’autorisation ». Indiquez en une phrase le type de vulnérabilité, le point de terminaison affecté et l’impact.

Rédigez les étapes de reproduction de façon qu’un développeur débutant n’ayant jamais vu cette vulnérabilité puisse la reproduire. Numérotez chaque étape. Incluez les requêtes HTTP exactes (copiées depuis Burp Suite). Indiquez également toutes les préconditions requises (type de compte, restriction géographique, heure de la journée).

Ajoutez des captures d’écran, des enregistrements d’écran ou des captures de requêtes/réponses HTTP de Burp Suite qui prouvent l’existence de la vulnérabilité. Pour IDOR : montrez que le compte A accède aux données du compte B avec la requête modifiée et que la réponse affiche les données de B.

Expliquez clairement l’impact métier : « Un attaquant peut accéder au nom complet, à l’adresse e-mail, au numéro de téléphone et à l’adresse de facturation de n’importe quel utilisateur en faisant varier les identifiants. » Chiffrez l’impact lorsque c’est possible : « La table des utilisateurs contient 2 millions d’enregistrements, tous accessibles. » Reliez l’impact technique au risque métier.

De nombreux programmes utilisent CVSS 3.1 pour évaluer la gravité. Apprenez les six métriques de base : AV (vecteur d’attaque), AC (complexité), PR (privilèges requis), UI (interaction utilisateur), S (périmètre), C/I/A (impact). Une évaluation précise avec CVSS témoigne de votre expertise et accélère l’analyse.

Erreurs courantes dans les rapports : aucune preuve de concept jointe, étapes de reproduction sans préconditions, impact sous-évalué (ne dites pas « faible » pour une prise de contrôle de compte), vulnérabilités théoriques sans preuve de leur exploitabilité et soumissions en double sans avoir consulté au préalable les rapports divulgués.

Collez la requête et la réponse HTTP exactes, en masquant les données sensibles — n’incluez pas de PII d’autres utilisateurs au-delà de ce qui est nécessaire. Utilisez la fonction « Copy as curl » de Burp Suite pour fournir une commande de reproduction sur une seule ligne que les examinateurs peuvent exécuter immédiatement.

Répondez rapidement aux questions liées à l’analyse. Si des précisions vous sont demandées, fournissez-les dans les 24 à 48 heures. Une communication professionnelle et courtoise établit des relations durables avec les équipes de sécurité et augmente vos chances d’obtenir une reconnaissance pour une nouvelle vérification ainsi que des récompenses supplémentaires.

Lisez les rapports les mieux évalués sur les pages de divulgation de HackerOne et Bugcrowd. Étudiez la manière dont les chercheurs les plus expérimentés structurent leurs rapports, démontrent l’impact et enchaînent les vulnérabilités. Reprenez leur mise en forme et leur façon de décrire l’impact dans vos propres soumissions.

Quel est l’élément le plus important qui distingue un rapport de vulnérabilité de grande qualité d’un rapport médiocre ?

Les rapports de vulnérabilité de grande qualité associent un titre précis, des étapes de reproduction claires, une preuve de concept concrète, une évaluation CVSS exacte et une évaluation convaincante de l’impact métier. Investir dans la qualité des rapports maximise les récompenses, renforce votre réputation et accélère l’analyse par les équipes de sécurité.