Périmètre

Actifs dans le périmètre

Actif URL Classe d'actif

Plateforme AarMe aarme.cyberaar.io Critique (58,3/100)

API formulaires cyberaar.io/api/* Standard (28,3/100)

Site principal cyberaar.io Standard (11,7/100)

Récompenses

Tableau des bounties

Récompense en fonction du score final CyberAar (CVSS v4.0 × impact métier) et de la classe de l'actif.

Calcul du montant (méthode CyberAar) : 1. la sévérité technique est le score CVSS v4.0 Base ; 2. l'impact métier démontré est noté de 0 à 10 par un questionnaire pondéré (financier, données, contrôle, continuité, réglementaire, portée, sécurité) ; 3. le score final est √(CVSS × impact), arrondi au dixième, et fixe la sévérité finale (Moyenne 4,0 à 6,9, Élevée 7,0 à 8,9, Critique 9,0 à 10 ; en dessous de 4,0, pas de récompense) ; 4. la classe de l'actif visé, fixée avant tout rapport, choisit la fourchette, et le score final exact fixe la position dans la fourchette (règle de trois), arrondie à 5 000 FCFA. Bounty Max du programme : 500 000 FCFA ; aucun actif de ce programme n'est classé Crown Jewel. Le calcul détaillé est communiqué à l'acceptation. Applicable aux rapports décidés à partir du 6 octobre 2026.

Hall of Fame : l'entrée au Hall of Fame est réservée aux failles de sévérité critique. Les autres sévérités sont récompensées selon la grille ci-dessous, sans inscription au palmarès.

Sévérité finale (score)	Standard	Important	Critique	Crown Jewel
Critique 9.0 - 10.0	75 000 - 125 000 FCFA · 15-25 %	125 000 - 225 000 FCFA · 25-45 %	225 000 - 300 000 FCFA · 45-60 %	300 000 - 500 000 FCFA · 60-100 %
Élevée 7.0 - 8.9	25 000 - 75 000 FCFA · 5-15 %	75 000 - 125 000 FCFA · 15-25 %	125 000 - 200 000 FCFA · 25-40 %	200 000 - 300 000 FCFA · 40-60 %
Moyenne 4.0 - 6.9	5 000 - 25 000 FCFA · 1-5 %	25 000 - 50 000 FCFA · 5-10 %	50 000 - 75 000 FCFA · 10-15 %	75 000 - 125 000 FCFA · 15-25 %

Récompenses matérielles

En plus de la prime, chaque contribution acceptée donne droit à un objet personnalisé à votre pseudonyme. Autocollants et badge nominatif pour une première faille acceptée ; pièce gravée pour une faille critique, ou pour le top 3 du trimestre au Palmarès.

Sur vos données : l'adresse de livraison vous est demandée au moment de l'envoi, jamais a l'inscription, et elle est supprimee une fois le colis parti. Elle n'est jamais stockee a cote de vos rapports.

Regles

Regles d'engagement

Dans le périmètre

✓Injection (SQLi, XSS, XXE, SSTI...)
✓Authentification et gestion de sessions
✓Contrôle d'accès et IDOR
✓Exposition de données sensibles
✓Upload de fichiers malveillants
✓SSRF et RCE

Hors périmètre

✕Attaques DoS / DDoS
✕Ingenierie sociale
✕Modification ou suppression de données réelles
✕Divulgation avant correction confirmée
✕Scan automatise sans PoC
✕Clickjacking sans impact démontré

SLA

Engagements de délai

24h ouvrées

Accusé de réception automatique à la soumission.

5 jours

Première qualification et attribution de la sévérité.

30 jours

Correction ciblée pour les vulnérabilités Critique et Élevée.

90 jours

Correction ciblée pour Moyenne. Divulgation coordonnée possible après ce délai.

L'identité doit être validée avant de soumettre, et la validation prend 24 à 48 heures ouvrées. Faites-la cette semaine pour chasser dès le 5 au matin.

Faire valider mon identité Règles