TIERS NEUTRE
Un tiers neutre, quand il le faut
Votre équipe évalue chaque faille selon une taxonomie publiée. BugSecure réexamine les évaluations contestées, relit chaque sévérité critique et reprend tout rapport non trié dans les délais.
Bug bounty · Afrique
Trouvez les failles. Renforcez la confiance.
Mettez en relation les talents de la sécurité et les organisations qui en ont besoin. Votre équipe trie et évalue ; BugSecure, tiers neutre, tranche les litiges et relit chaque sévérité critique. Récompenses publiées avant toute soumission, et un certificat signé pour chaque prime.
Découvrir le fonctionnementBS–024Validé
Rapport de vulnérabilité
Défaut de contrôle d’accès
Sévérité retenueÉlevée · 8.1
- Faille documentée
- Sévérité motivée
- Prime certifiée
Certificat vérifiableGrille publiée. Décision traçable.
La sévérité vous semble injuste ? Demandez un réexamen à BugSecure, tiers neutre.
Parcours illustratif · Aucune donnée réelle
Un cadre de confiance partagé.
Français et anglaisUn tiers neutre en cas de litigeGrilles de primes publiquesLes fondamentaux
Des règles claires. Une sécurité renforcée.
Grille publiée
Des primes vérifiables
Les primes suivent la grille que chaque organisation publie avant toute soumission : le montant est connu d'avance, il ne se négocie pas après coup.
COMMUNAUTÉ
Talents locaux. Ambition commune.
Un espace pour les chercheurs en sécurité d'Afrique et les organisations qu'ils protègent.
TRANSPARENCE
Une décision traçable
Un certificat signé documente chaque prime. L’entreprise paie le chercheur directement.
Comment ça marche
La sévérité décide du montant. Donc la sévérité est contestable.
Du signalement au paiement, chaque étape a un responsable et une décision documentée. La sévérité détermine la prime, avec une demande de réexamen auprès de BugSecure, tiers neutre, en cas de désaccord.
Soumettre
Le chercheur argumente l'impact et la sévérité au regard d'une taxonomie publiée. Jamais un prix : le montant ne lui appartient pas, et il n'appartient pas davantage à l'entreprise.
Évaluer
L'équipe de l'organisation trie le rapport dans le délai que publie le programme, dix jours ouvrés au plus, retient la sévérité et consigne sa motivation. Passé ce délai, BugSecure évalue à sa place. Une sévérité critique est relue par BugSecure avant tout certificat.
Certifier
La sévérité rencontre la grille de récompenses publiée de l'organisation, et le montant en découle. Nous émettons un certificat signé — qui a évalué, qui doit quoi, à qui, et pour quand — que chacun peut vérifier sans compte.
Régler
L'entreprise paie le chercheur directement et le déclare. Le chercheur confirme, ou conteste. Un certificat impayé suspend les nouvelles soumissions sur le programme.
- 7 j
- Délai de réexamen
- 14 j
- Délai de règlement
- 10 j
- Délai de tri maximal (jours ouvrés)
- 10 ans
- Conservation
Deux parties. Une plateforme.
La sécurité se construit ensemble.
Chercheurs en sécurité
Soumettez en français. Argumentez la sévérité, pas un prix — et si la décision ne vous convainc pas, demandez un réexamen à BugSecure, tiers neutre, dont la détermination s'impose. Chaque programme publie son délai de tri : passé ce délai, BugSecure évalue votre rapport. BugSecure ne prélève rien sur la prime : l'entreprise vous la verse directement, sur le compte mobile money que vous enregistrez.
Trouver un programmeEntreprises africaines
Banques, télécoms, fintechs et agences publiques de toute l'Afrique. Vous publiez votre grille de récompenses, votre équipe trie et évalue les rapports, BugSecure tranche les litiges et relit chaque sévérité critique, et vous payez le chercheur directement contre un certificat vérifiable par tous.
Lancer un programmePosture réglementaire
Ce que nous pouvons faire aujourd'hui. Ce que nous voulons faire ensuite.
Une plateforme de bug bounty entre en terrain réglementé dès l'instant où elle détient l'argent d'autrui. Voici précisément où nous nous situons de part et d'autre de cette ligne.
Nous ne détenons jamais les fonds
L'entreprise paie le chercheur directement, contre notre certificat. Rien ne transite par nous — c'est pourquoi opérer comme nous le faisons aujourd'hui n'exige aucun agrément BCEAO.
- Aucune détention
- Nous ne recevons, ne détenons et ne transférons aucune prime. En détenir une pendant des semaines correspond précisément à l'activité que l'Instruction BCEAO N°001-01-2024 réserve aux établissements agréés, et l'UEMOA ne prévoit aucune exception pour les places de marché — contrairement à l'Union européenne ou aux États-Unis.
- Des conditions qui engagent
- Consultables avant votre confirmation, conservables et reproductibles ensuite. La loi sénégalaise n° 2008-08 en fait une condition de formation du contrat, pas une politesse.
- Un dossier de dix ans
- Chaque certificat et chaque acceptation sont conservés dix ans et restitués sur demande — garanti par la base de données, pas par une politique interne.
- L'intégralité du montant dû
- Chaque certificat indique ce que l'entreprise doit, dans la devise du programme. Nous ne prélevons aucune commission et ne déduisons rien. Toute retenue que la loi impose sur le paiement relève de l'entreprise, en sa qualité de payeur, qui la déclare au chercheur.
Détention agréée
Détenir les fonds de nos clients est la direction que nous visons, et c'est une question d'agrément bien avant d'être une question d'ingénierie. Rien de cette colonne n'existe aujourd'hui.
- Établissement de paiement
- Soit notre propre agrément, assorti d'un capital minimum de 100 000 000 FCFA, soit une immatriculation comme agent d'un établissement de paiement agréé — un dossier déposé par l'établissement mandant, qui en demeure responsable.
- Lutte anti-blanchiment
- Sur la voie de la détention, un dispositif de contrôle interne LBC/FT conditionne le dépôt du dossier lui-même ; ce n'est pas une formalité ultérieure.
- CIMA — garantie assurantielle
- Adosser une garantie d'assurance à un certificat est en soi une activité d'assurance réglementée, qui exige son propre agrément. Nous l'étudions. Nous ne le détenons pas.
- OHADA
- Notre tarif et chaque grille de récompenses sont publiés, parce qu'un tarif publié produit des effets de droit. Cela vaut dans les deux modèles.
Rien de tout ceci n'est agréé à ce jour. BugSecure ne détient aucun fonds de client et ne fournit aucun service de paiement ni d'assurance.
BUGSECURE AFRICA
Prêt à sécuriser vos systèmes ?
Rejoignez la plateforme de bug bounty bâtie en Afrique, pour l'Afrique.