Périmètre
Ce que vous pouvez et ne pouvez pas faire
Chaque organisation publié son propre périmètre. Les règles ci-dessous s'appliquent par défaut à l'ensemble de la plateforme.
Autorisé
- ✓Tests sur les actifs explicitement listés dans le programme
- ✓Fuzzing, injection, analyse de la surface d'attaque dans le périmètre défini
- ✓Collecte de preuves non destructives (captures, logs)
- ✓Comptes de test créés avec vos propres adresses email, pour tester les parcours de compte (3 au maximum)
Interdit
- ✕Tests hors du périmètre défini par l'organisation
- ✕Attaques par déni de service (DoS/DDoS)
- ✕Accès, modification ou suppression de données réelles
- ✕Ingénierie sociale sur les employés ou clients
- ✕Partage de la vulnérabilité avant correction
Processus
Comment soumettre un rapport
Reproduire
Reproduisez la vulnérabilité de façon fiable avant de soumettre. Un rapport non reproductible ne peut pas être qualifié.
Documenter
Un rapport PDF est obligatoire : description, étapes de reproduction, captures d'écran, impact estimé, référence CVSS si applicable. Nous rejouons depuis ce document et ne devinons pas ce qui manque.
Soumettre
Via l'interface de soumission de la plateforme. Un accusé de réception automatique est envoyé immédiatement.
Attendre
CyberAar valide le rapport sous 5 jours ouvrés. Aucune divulgation publique avant la correction et l'accord des parties.
Trafic de test
En-tête d'identification
Chaque chercheur vérifié dispose d'un en-tête personnel, à ajouter à toutes ses requêtes de test. Il se génère dans Mon compte, onglet Sécurité (identité vérifiée et double authentification requises), sous la forme :
X-AarMe-Researcher: votre_pseudo:valeur_secrète - Ce qu'il change : votre trafic est reconnu par le SOC comme le vôtre et non comme une attaque, et le plafond de requêtes à l'entrée de la plateforme passe de 60 à 300 par minute. Les limites de connexion, de double authentification et des formulaires restent les mêmes : elles font partie du périmètre testé. Les protections de Cloudflare s'appliquent toujours.
- Comment l'ajouter :
curl -H,ffuf -H,nuclei -H,sqlmap --headers, ou dans Burp une règle « Match and replace » qui ajoute l'en-tête à chaque requête. - Valeur invalide : une valeur fausse, révoquée ou mal copiée est refusée (HTTP 403) et signalée au SOC comme une tentative d'usurpation. Régénérez-la depuis Mon compte si besoin.
- Confidentialité : la valeur est personnelle et n'est affichée qu'une fois. Ne la partagez pas, retirez-la de vos captures d'écran et de vos rapports. Une valeur prêtée ou réutilisée par un tiers relève des sanctions du programme.
Classification
Classification des vulnérabilités
L'entrée au Hall of Fame est réservée aux failles de sévérité critique. La sévérité est évaluée selon l'échelle CVSS. La récompense associée est fixée par chaque organisation en fonction de la criticité de l'actif, pas de la sévérité seule. Les montants sont publiés à l'ouverture de chaque programme.
Critique
9.0 – 10.0
Traitement prioritaire
Élevée
7.0 – 8.9
Traitement prioritaire
Moyenne
4.0 – 6.9
Traitement standard
SLA
Nos engagements
Accusé de réception automatique dès la soumission.
Première évaluation et qualification de la sévérité.
Si des éléments manquent, le rapport passe en « Informations demandées » : il garde sa date de soumission, et vous le complétez avec un PDF depuis le suivi. Sans complément sous 14 jours, il est rejeté pour informations insuffisantes.
Divulgation coordonnée : vous pouvez publier après correction confirmée ou 90 jours, selon le premier terme atteint.
Délai cible de correction, adapté au score CVSS (Critique/Élevé traités en priorité).
Politique
Politique des rapports
Doublons
En cas de rapports identiques, le premier (par horodatage) est retenu pour la récompense. Le second hacker est crédité au Hall of Fame si la faille est critique. Aucune récompense partielle.
Contestation sévérité
Si vous estimez que votre rapport a été sous-évalué, répondez à votre email de décision avec votre justification : vecteur CVSS v4.0 et éléments d'impact. Réexamen sous 5 jours ouvrés.
Évaluation CyberAar
Chaque rapport accepté est évalué par l'équipe : score CVSS v4.0 Base (sévérité technique), impact métier démontré noté de 0 à 10, puis score final = √(CVSS × impact). La classe de l'actif visé (Standard, Important, Critique, Crown Jewel), fixée avant tout rapport, choisit la fourchette de récompense ; le score final exact fixe le montant dans la fourchette. Une vulnérabilité techniquement Low (CVSS v4 inférieur à 4,0) n'est jamais récompensée, et un score final inférieur à 4,0 n'est pas récompensé : la grille commence à la sévérité finale Moyenne. Le détail du calcul est communiqué à l'acceptation.
Un compte vérifié par personne
Une seule identité vérifiée par personne : c'est le seul compte qui peut soumettre des rapports et être récompensé. Les comptes de test sont autorisés pour tester les parcours de compte, avec vos propres adresses, dans la limite de 3 par personne ; ils ne peuvent être ni vérifiés ni récompensés. Au-delà de 3, ou s'ils servent à autre chose qu'à tester, ils sont suspendus. Au plus 4 comptes (le vôtre et 3 comptes de test) peuvent être créés depuis un même réseau sur 30 jours ; si vous partagez votre réseau avec d'autres chercheurs, écrivez à [email protected].
Double validation
Chaque acceptation est validée par au moins deux membres de l'équipe CyberAar, qui rejouent le rapport avant de fixer la sévérité et le montant.
Rapport à plusieurs
Jusqu'à 3 co-chercheurs en plus de l'auteur, désignés par leur pseudonyme AarMe à la soumission. Chacun confirme sa participation depuis son compte avant la décision : une invitation non confirmée avant la décision n'ouvre droit à rien. Chaque participant doit avoir une identité vérifiée lors de l'acceptation et du paiement. La récompense et les points de réputation sont partagés à parts égales entre l'auteur et les co-chercheurs confirmés ; l'arrondi revient à l'auteur, comme le bonus du premier rapport accepté sur un actif. Chaque part est versée séparément, à chaque participant, sur ses propres coordonnées de paiement.
Comptes non confirmés
Une adresse non confirmée sous 48 heures entraîne la suspension du compte, puis sa suppression 7 jours plus tard. Un rappel est envoyé après 24 heures ; une nouvelle inscription avec la même adresse repart de zéro.
Format des rapports
Un rapport structuré, au format PDF : contexte, étapes numérotées avec une capture d'écran à chaque étape, impact démontré, vecteur et score CVSS v4.0 justifiés. Une suite de commandes curl sans explication ni capture n'est pas un rapport : elle est renvoyée pour complément ou rejetée. Les rapports rédigés avec l'aide d'une IA sont acceptés s'ils sont cohérents, vérifiés et reproductibles. Le modèle de rapport est disponible sur notre serveur Discord.
Délai de réponse
Après acceptation, un email vous demande vos informations de paiement (Wave, Orange Money ou PayPal). Vous disposez de 30 jours pour y répondre ; passé ce délai, la récompense est annulée.
Paiement individuel
Chaque récompense est versée individuellement dès validation KYC. Le montant est défini par le programme. Aucun regroupement de paiements.
Identité & paiement
Vérification KYC
La vérification d'identité est obligatoire avant toute soumission de rapport. Elle se fait entièrement depuis votre compte : vos documents sont chiffrés dès leur dépôt, examinés par l'équipe CyberAar (24 à 48 heures ouvrées), puis détruits dès qu'une décision est enregistrée. Nous n'en conservons aucune copie et ne les acceptons jamais par email.
Création du compte
- ✓Création du compte avec mot de passe et double authentification
- ✓Dépôt des documents depuis votre compte, chiffrés à la réception
- ✓Vérification sous 24 à 48 heures ouvrées
- ✓Documents détruits dès la décision, seule une attestation est conservée
Après activation du compte
- →Soumission de rapports débloquée
- →Pièce d'identité nationale ou passeport, quel que soit le pays
- →Wave ou Orange Money (zone UEMOA), PayPal partout ailleurs
- →Compte de paiement à votre nom, celui de votre pièce d'identité : aucun versement à un tiers
- →Versement sous 15 jours ouvrés après réception de vos informations de paiement
Ce que nous conservons, et pour combien de temps. Vos quatre documents d'identité sont détruits dès que la décision, approbation ou refus, est enregistrée ; sans décision, ils sont détruits au plus tard 7 jours après leur dépôt. Nous n'en gardons aucune copie. Pour qu'une même personne ne puisse pas faire vérifier deux comptes, l'équipe relève sur la pièce votre nom, vos date et lieu de naissance, le pays émetteur et le numéro de la pièce : ces données ne sont pas enregistrées, seules deux empreintes chiffrées (HMAC-SHA256 avec une clé secrète) en sont conservées. Elles permettent de reconnaître la même pièce ou la même personne sur un autre compte, sans permettre de retrouver les données d'origine. Seule subsiste une attestation de vérification : la décision, sa date, le membre de l'équipe qui l'a prise, la liste des types de documents examinés et leur empreinte SHA-256 (une suite de caractères qui prouve quels fichiers ont été examinés, sans permettre de les reconstituer) et, le cas échéant, une note de l'équipe sur la décision. Une vérification approuvée est valable 2 ans ; vous déposez ensuite de nouveaux documents. L'attestation est conservée tant que votre compte existe. Ce traitement relève de la loi n° 2008-12 sur la protection des données personnelles. Aucun document n'est jamais transmis aux organisations partenaires.
Programme privé
Accès sur invitation
Un programme privé est visible et accessible uniquement par les hackers explicitement invités par CyberAar au nom de l'organisation. Ni le nom du programme, ni ses actifs, ni son périmètre ne sont visibles publiquement.
Invitation requise
Seuls les hackers sélectionnés et approuvés par CyberAar reçoivent un accès. Toute tentative de test sans invitation est hors périmètre.
Accès VPN dédié
Les actifs du programme sont délivrés via un tunnel VPN dédié fourni par CyberAar. Aucun actif privé n'est exposé sur Internet.
Confidentialité totale
Les hackers invités sont soumis a un accord de confidentialité. Aucune divulgation du périmètre, des actifs ou des vulnérabilités decouvertes n'est autorisée sans accord explicite de l'organisation.
Safe harbor légal
Les hackers agissant de bonne foi, dans le respect des présentes règles et du périmètre défini par l'organisation, ne feront l'objet d'aucune action légale de la part de CyberAar. Nous nous engageons à travailler avec nos organisations partenaires pour étendre cette protection aux rapports valides soumis via la plateforme. La protection safe harbor ne couvre pas les accès ou actions délibérément hors périmètre.
Créez votre compte et faites vérifier votre identité. La soumission de rapports s'ouvre ensuite.
Historique des modifications
- 2026-10-22 Seuil de récompense écrit dans les Règles : un score final CyberAar inférieur à 4,0 n'est pas récompensé (la grille commence à la sévérité finale Moyenne, comme l'indiquait déjà la page du programme). Un verrou de connexion indique désormais sa durée restante (en-tête Retry-After).
- 2026-10-12 En-tête d'identification X-AarMe-Researcher : à ajouter aux requêtes de test, vérifié à l'entrée de la plateforme, plafond de 300 requêtes par minute au lieu de 60. Sessions : liste des sessions ouvertes et déconnexion des autres depuis Mon compte ; une session se ferme 24 heures après la connexion.
- 2026-10-08 Paiement : le compte qui reçoit la récompense doit être au nom vérifié du chercheur, celui de sa pièce d'identité ; l'équipe le contrôle avant chaque versement et ne paie jamais un tiers.
- 2026-10-08 Rapport à plusieurs : la récompense et les points sont partagés à parts égales entre l'auteur et les co-chercheurs confirmés avant la décision, chaque part versée séparément à un participant à l'identité vérifiée.
- 2026-10-08 Comptes de test : au plus 4 comptes (le vôtre et 3 comptes de test) créés depuis un même réseau sur 30 jours, adresse IPv4 ou bloc IPv6 /64. Réseau partagé : écrivez à [email protected].
- 2026-10-07 Une seule identité vérifiée par personne, contrôlée par la pièce : à l'approbation, deux empreintes chiffrées sont calculées à partir du nom, des date et lieu de naissance et du numéro de la pièce, puis comparées aux comptes existants. Les données elles-mêmes ne sont pas conservées. Le nom du compte doit être celui de la pièce d'identité.
- 2026-10-07 Conservation des données KYC précisée : la mention « conservés 5 ans » était erronée. Les documents d'identité sont détruits dès la décision ; seule une attestation de vérification est conservée.
- 2026-10-06 Évaluation CyberAar : CVSS v4.0 (au lieu de 3.1), impact métier démontré, score final = √(CVSS × impact), classes d'actif Standard, Important, Critique et Crown Jewel. Barème en pourcentage d'un Bounty Max de 500 000 FCFA ; vulnérabilité techniquement Low jamais récompensée. Applicable aux rapports décidés à partir du 6 octobre 2026.
- 2026-10-06 Double validation : chaque acceptation est validée par au moins deux membres de l'équipe. Comptes non confirmés : rappel après 24 heures, suspension après 48 heures, suppression 7 jours plus tard. La double authentification est exigée pour soumettre un rapport.
- 2026-10-05 Comptes de test limités à 3 par personne, en plus du compte vérifié. Format des rapports précisé : rapport structuré avec une capture d'écran par étape, commandes curl seules refusées, rédaction assistée par IA acceptée si le rapport est cohérent et reproductible. Modèle de rapport et communauté sur Discord : https://discord.gg/7CsEjRqnFw
- 2026-10-05 Une décision de rejet ou de doublon peut être réexaminée par l'équipe, toujours en faveur du chercheur : le rapport repasse en cours de qualification et le chercheur est prévenu par email, avec la raison.
- 2026-10-05 Montant dans la fourchette fixé selon l'impact démontré (données exposées ou modifiées, comptes touchés, conditions d'exploitation), le score CVSS servant d'indicateur : remplace le calcul par règle de trois, qui écrasait les écarts d'impact. Montant et justification communiqués à l'acceptation.
- 2026-10-05 Montant calculé par règle de trois dans la fourchette, selon le score CVSS retenu par l'équipe, arrondi au millier de FCFA : remplace la règle moitié basse / moitié haute publiée le même jour. La grille en fourchettes s'applique aux rapports décidés à partir du 5 octobre 2026, et non plus aux seuls rapports soumis à partir du 6 octobre ; aucun rapport n'avait été accepté auparavant.
- 2026-10-05 Rapport PDF obligatoire à la soumission. Nouveau statut « Informations demandées » : le rapport garde sa date de soumission et se complète avec un PDF sous 14 jours, sinon il est rejeté pour informations insuffisantes.
- 2026-10-05 Grille de récompenses en fourchettes (bas de fourchette pour la moitié basse de la bande CVSS, haut pour la moitié haute), de 20 000 à 500 000 FCFA, pour les rapports soumis à partir du 6 octobre 2026.
- 2026-10-05 Un seul compte vérifié par personne ; comptes de test encadrés (vos propres adresses, ni vérifiables ni récompensés). Activation du second facteur réservée aux adresses confirmées.
- 2026-10-05 Décisions sur les rapports : un email à chaque étape (qualification, acceptation, refus avec motif, doublon, retest, paiement). Délai de 30 jours pour transmettre vos informations de paiement après acceptation. Suivi des rapports réservé aux comptes connectés.
- 2026-10-04 Ouverture du programme CyberAar. Montants publics rétablis (30 000 à 500 000 FCFA selon sévérité et criticité de l'actif). Ajout de récompenses matérielles personnalisées : adresse de livraison demandée à l'envoi uniquement, puis supprimée.
- 2026-07-25 Ajout PayPal comme methode de paiement (Wave, Orange Money, PayPal). Section programme privé (invitation, VPN dédié, confidentialité).
- 2026-07-24 Suppression des montants publics : bounties définis par programme selon la criticité de l'actif.
- 2026-07-24 Section "Politique des rapports" : doublons, contestation de sévérité, paiement individuel.
- 2026-07-24 Tableau de récompenses par actif. Délai de correction 30 → 90 jours.
- 2026-07-24 Politique de divulgation coordonnée (90 jours) explicitée.
- 2026-07-23 Lancement public - programme ouvert aux hackers et aux organisations.