WordPress a rejoint la plateforme HackerOne, demandant aux hackers éthiques, ou experts en sécurité informatique (white hat) de commencer à se plonger dans leur code source à la recherche de vulnérabilités. Au fil des années, WordPress est devenu la plateforme de blogging la plus utilisée au monde. Aujourd’hui, elle gère plus de 28 % des dix millions de sites au monde, ce qui signifie qu’il est devenu très important pour l’entreprise de se tenir éloigné de bugs et de failles.
HackerOne, comme vous le savez peut-être, est une plateforme où les chercheurs en sécurité peuvent déclarer de façon sécurisée et responsable des vulnérabilités qu’ils découvrent. Les chercheurs peuvent ensuite être récompensés pour leurs découvertes avec diverses sommes d’argent, selon ce que les entreprises offrent pour ces vulnérabilités. Comme l’affirme WordPress, un tel processus va libérer son équipe afin qu’elle se consacre davantage à améliorer la sécurité de WordPress.
Si la société a effectivement utilisé un tel programme depuis un peu plus d’un an avec diverses primes, elle l’a fait en privé. Jusqu’à présent, elle a accordé plus de 3 700 dollars en primes à sept personnes.
Une excellente décision technique
« Avec l’annonce du programme WordPress HackerOne, nous introduisons également des primes pour la découverte de bugs. Bug Bounty nous permet de récompenser les personnes révélant des problèmes, et nous aide à sécuriser nos produits et nos infrastructures. Nous avons déjà accordé plus de 3 700 dollars en primes ! Nous sommes reconnaissants à Automattic pour payer les primes au nom du projet WordPress », a déclaré Aaron Campbell dans la campagne du programme.
Le programme et les primes couvrent tous les projets, y compris WordPress, BuddyPress, bbPress, GlotPress et WP-CLI, ainsi que tous ses sites. Selon la publication, toute vulnérabilité reproductible qui affecte la sécurité de ses utilisateurs est susceptible d’être dans la portée du programme, y compris les injections SQL, les exécutions de code à distance et le cross-site scripting (XSS).
Ce choix n’est pas anodin, puisque WordPress a connu quelques problèmes de sécurité au cours des dernières années, y compris certains qualifiés comme critiques. De nombreuses entreprises ont des programmes Bug Bounty internes, tandis que d’autres sont inscrits sur HackerOne.
