Édito

Je n’aime pas les programmes de bug bounty. J’ai bien essayé de changer d’avis, mais rien n’y fait. Le modèle semblant convenir à d’autres, j’ai discuté avec des hunters satisfaits, des triagers compétents, et des RSSI comblés. Néanmoins, plus je suis exposé à ces programmes et moins mon opinion change. Peut-être parce que je n’ai pas eu les mêmes expériences qu’eux.

L’été des fuites de données / CVE-2025-25256 - FortiSIEM / L’IA de XBOW au sommet de HackerOne / CVE-2025-53770 & CVE-2025-53771 - SharePoint RCE

La conformité est bien souvent un sujet très clivant dans les discussions liées à la cybersécurité. Les débats s’enflamment d’autant plus vite quand s’affrontent ceux qui sont confrontés aux effets des attaques, et ceux qui auditent les contrôles. Deux extrémités du spectre des compétences avec des objectifs parfois différents, et des expériences qui forcent à confronter pratique et théorie. Les sujets clivants sont nombreux : le renouvellement fréquent des mots de passe, ou les mises à jour en sont des exemples très classiques.

Lorsque j'ai commencé à m’intéresser au domaine de la sécurité à la fin des années 90, un ami m’avait prévenu « la sécurité, c’est un truc de vieux con » ; une punchline a priori provocatrice qui semble vouloir décourager tout nouveau pratiquant. C’est tout l’inverse, elle résume de manière percutante que notre discipline est avant tout complexe et transversale, qu’il y a beaucoup de choses à apprendre et que pour progresser, il faut de la rigueur, et savoir douter. Une phrase qui, des années plus tard, conserve tout son sens.