Ces dernières années, nous avons testé les programmes de récompense pour vulnérabilités de divers fournisseurs de produits mobiles et de surfaces d'attaque. Comme beaucoup d'autres, nous avons rencontré autant d'échecs que de succès, tirant de précieux enseignements de nos erreurs (et parfois de celles des fournisseurs). Dans cette présentation, nous nous concentrerons sur les enseignements à tirer de tout cela. Il s'agit notamment de savoir comment choisir ou non une surface d'attaque ou un modèle de produit, comment décider sur quoi renoncer et sur quoi miser, et comment optimiser les décisions communiquées par les fournisseurs et les mises à jour de sécurité qu'ils publient. Pour un contenu technique, nous reviendrons sur notre base de données de vulnérabilités Android et aborderons certaines de nos précédentes soumissions de VRP afin d'en tirer les leçons.