YesWeHack est une entreprise française de cybersécurité spécialisée dans le bug bounty, un modèle de recherche de vulnérabilités fondé sur la contribution de hackers éthiques. Accessible sur yeswehack.com, sa plateforme permet aux entreprises et aux organismes publics de soumettre des applications, des sites ou des infrastructures à des chercheurs externes. L’objectif : repérer des failles avant leur exploitation malveillante, dans un cadre technique et contractuel défini.
Une plateforme née en France
Créée en 2015, YesWeHack s’est développée autour d’une idée : les équipes de sécurité internes peuvent bénéficier de regards extérieurs, aux compétences et aux méthodes variées. Le bug bounty transforme cette contribution en dispositif organisé, avec des règles de participation, des modalités de signalement et des récompenses liées aux vulnérabilités découvertes.
L’entreprise s’inscrit dans l’écosystème français de la cybersécurité tout en déployant ses activités à l’international. Son développement accompagne l’adoption de la recherche participative par des organisations qui cherchent à compléter leurs audits et leurs tests d’intrusion. La confiance constitue un enjeu central de ce marché : les clients doivent encadrer les investigations, protéger les informations sensibles et disposer de rapports exploitables.
Organiser la recherche et le traitement des failles
Le fonctionnement repose sur des programmes dont l’organisation cliente fixe le périmètre : actifs autorisés, types de tests acceptés, exclusions et barème de récompenses. Ces programmes peuvent être privés, ouverts à des chercheurs sélectionnés, ou publics, accessibles à une communauté plus large. Cette distinction permet notamment d’adapter l’exposition du programme à la maturité des équipes chargées de recevoir et de corriger les signalements.
Les chercheurs transmettent leurs découvertes avec les éléments nécessaires pour reproduire le problème et en comprendre l’impact. La plateforme centralise les échanges et le suivi des rapports. YesWeHack propose également un accompagnement pour qualifier les signalements, identifier les doublons et faciliter leur prise en charge. La rémunération dépend des règles du programme, notamment de la gravité et de la validité de la faille.
Au-delà des campagnes rémunérées, l’entreprise propose des dispositifs de divulgation de vulnérabilités, qui donnent aux chercheurs un canal officiel pour alerter une organisation. Ces démarches ne remplacent ni le développement sécurisé ni les autres contrôles : elles apportent une capacité supplémentaire de détection, dont l’utilité dépend aussi de la rapidité des corrections.
Et maintenant ?
Pour YesWeHack, l’enjeu est de faire du bug bounty une pratique durable plutôt qu’une opération ponctuelle. L’évolution permanente des services numériques renouvelle les surfaces à tester, tandis que les organisations doivent absorber les signalements sans saturer leurs équipes. La qualité de la qualification, l’intégration aux processus de correction et la fidélisation des chercheurs seront donc déterminantes. Dans un marché international concurrentiel, l’entreprise devra aussi concilier élargissement de sa clientèle et maintien d’un cadre de confiance pour les tests comme pour les données échangées.