Bug bounty et sécurité participative · Pricing guide
Les tarifs de HackerOne, expliqués
HackerOne ne publie pas ses prix, et sa structure de coûts est volontairement la moins prévisible du secteur : vous payez des frais de plateforme, plus des primes aux chercheurs pour les découvertes valides, plus une commission en pourcentage sur les paiements, plus des services managés optionnels comme le triage. Ce guide détaille les fourchettes constatées par type de programme et les coûts cachés qui font grimper les budgets réels au-dessus du devis initial.
Last verified: 2026-07-13
HackerOne pricing at a glance
Trois composantes de coût qui s'empilent
Un budget HackerOne comporte une part fixe et deux parts variables. La part fixe est l'abonnement plateforme, que les rapports d'acheteurs situent autour de $8,000 à $12,000 par an pour un VDP basique et de $25,000 à $40,000 pour un programme de bounty privé. La première part variable est la dépense en primes : vous fixez la grille de récompenses et vous payez chaque découverte valide. La seconde est la commission de la plateforme sur ces paiements, couramment rapportée autour de 5 %.
Les services managés s'empilent par-dessus : HackerOne vend le triage (filtrage des doublons, du bruit et des rapports hors périmètre avant qu'ils n'atteignent votre équipe) précisément parce que les flux bruts de rapports participatifs sont coûteux à traiter en interne. Les analyses d'acheteurs constatent couramment des coûts annuels réels supérieurs de 30 à 40 % au devis plateforme initial une fois primes et options comptées.
Budgéter honnêtement un programme de bounty
La vérité inconfortable du budget bounty : un programme calme n'est pas forcément un produit sûr, et un programme actif fait exploser le budget précisément au moment où votre sécurité est la plus faible. Cette inversion (payer le plus quand on peut le moins le prévoir) est gérable pour les équipes sécurité matures et douloureuse pour les petites.
HackerOne Pentest est l'exception prévisible : une mission cadrée et limitée dans le temps avec des testeurs sélectionnés dans la communauté, constatée entre $15,000 et $75,000 par projet selon le périmètre. Cela s'apparente à l'achat d'un test d'intrusion, pas à l'exploitation d'une place de marché.
Coûts HackerOne constatés par type de programme (2026)
Fourchettes rapportées par des tiers ; HackerOne ne publie aucun prix. Pour les programmes de bounty, les primes versées s'ajoutent aux frais de plateforme.
| Type de programme | Coût annuel constaté | Coûts variables en plus |
|---|---|---|
| VDP (divulgation seule) | ~$8,000–$12,000 | Aucun (pas de primes) |
| Bug bounty privé | ~$25,000–$40,000 de plateforme | Primes + ~5 % de commission + triage |
| HackerOne Pentest | $15,000–$75,000 par mission | Retests / missions supplémentaires |
| Programmes entreprise | $150,000+ | Primes, ASM, services managés |
Fourchettes issues des plateformes d'achat (Vendr, Spendflo) et de rapports d'acheteurs, 2026. Les devis réels varient selon le périmètre et la négociation. Dernière vérification : juillet 2026.
Budget fixe contre budget ouvert
Le modèle de HackerOne rémunère des humains à la découverte, le coût évolue donc avec le nombre de bugs existants ; l'abonnement Penetrify (à partir de $100/month) est forfaitaire quoi qu'il trouve, avec des découvertes vérifiées et dédupliquées, sans file de triage. La combinaison pragmatique adoptée par beaucoup d'équipes : une plateforme autonome comme socle permanent qui attrape les classes de vulnérabilités courantes avant que les chercheurs ne puissent en toucher les primes, avec un programme de bounty par-dessus une fois que les découvertes faciles se tarissent.
The bottom line
HackerOne anime la plus grande communauté de chercheurs au monde, et pour les cibles très exposées disposant d'une capacité de triage et de budgets flexibles, rien n'égale cette profondeur créative. Mais abordez-le lucide sur la structure de coûts : frais de plateforme plus primes ouvertes plus commissions sur paiements plus triage, c'est une forme de budget qui punit les surprises. Les coûts tout compris constatés vont d'environ $15,000 pour un VDP frugal à plusieurs centaines de milliers de dollars pour les programmes entreprise complets. Si vous avez besoin d'une dépense prévisible et d'une couverture garantie à chaque release, les tests à prix fixe (autonomes ou en mission) constituent un socle plus sain.
Frequently asked questions
Combien coûte HackerOne ?
HackerOne ne publie pas ses prix. Les rapports d'acheteurs situent les programmes VDP d'entrée autour de $8,000 à $12,000 par an, les programmes de bounty privés à $25,000 à $40,000 de coût plateforme plus les primes versées et une commission constatée d'environ 5 %, et les programmes entreprise à $150,000+ par an.
Combien coûte un pentest HackerOne ?
Les missions HackerOne Pentest sont constatées entre $15,000 et $75,000 par projet selon le périmètre, avec des abonnements annuels couvrant plusieurs tests rapportés entre $60,000 et $200,000+.
HackerOne est-il gratuit pour l'open source ?
Oui : HackerOne propose une Community Edition gratuite pour les projets open source éligibles. Les programmes commerciaux sont sur devis.
Un programme de bug bounty est-il moins cher qu'un test d'intrusion ?
Pas de façon fiable. Un programme de bounty combine des frais de plateforme fixes, des primes ouvertes par découverte et des coûts de triage : un programme actif peut largement dépasser un budget de test d'intrusion, tandis qu'un programme calme n'apporte guère d'assurance. Les tests d'intrusion (humains ou autonomes) achètent un effort défini à un prix défini.