Vous avez trouvé la vulnérabilité à 1 h du matin, vous l'avez documentée, et trois semaines plus tard, un paiement à quatre chiffres atterrit sur votre compte pour un travail effectué en pyjama. Cela ressemble à de l'argent trouvé — jusqu'à ce que vous réalisiez que l'IRS le considère comme un revenu comme un autre, et que la plateforme qui vous a payé a peut-être déjà été informée à ce sujet.
La chasse aux bug bounties est devenue une activité sérieusement lucrative. HackerOne a versé 81 millions de dollars à des chercheurs sur une seule période de douze mois, soit une augmentation de 13 % d'une année sur l'autre, le programme actif moyen versant environ 42 000 $ par an. La plupart des paiements individuels sont modestes — le bounty divulgué médian se situe autour de 500 $ — mais les meilleurs chercheurs gagnent désormais six et sept chiffres par an. Que vous ayez collecté un paiement de 300 $ ou un flux constant de critiques, voici comment gérer correctement l'aspect fiscal : ce que déclarent les plateformes, à quels formulaires vous attendre, quand vous devez la taxe sur le travail indépendant, et comment la distinction passe-temps-entreprise détermine si vos coûts d'outillage sont déductibles.
Chaque Dollar de Revenu de Bounty est Imposable
Commencez par la règle qui surprend le plus les chasseurs débutants : les paiements de bounty sont des revenus ordinaires dès le premier dollar. Il n'y a pas d'exception de minimis pour les « petits » paiements, pas d'exclusion « c'était juste un passe-temps donc ça ne compte pas », et aucun traitement spécial de type gains en capital parce que le travail ressemblait à un jeu. Si un paiement a atterri sur votre compte bancaire, PayPal ou portefeuille crypto, il fait partie de votre déclaration.
Cela piège les gens parce que le revenu de bounty arrive sans la machinerie familière d'un salaire — pas de retenue à la source, pas de W-2, pas d'employeur vous rappelant que les impôts existent. Les plateformes vous paient brut et vous laissent entièrement les calculs fiscaux. Traitez chaque notification de paiement comme une fiche de paie que vous devez régler vous-même, et vous ne serez jamais pris au dépourvu en avril.
Ce que HackerOne et Bugcrowd Déclarent Réellement
Les formulaires fiscaux que vous soumettez avant de pouvoir être payé
Les deux grandes plateformes collectent des documents fiscaux dans le cadre de la configuration du paiement, avant que l'argent ne puisse circuler. Les chercheurs basés aux États-Unis soumettent le formulaire W-9 (nom, adresse, numéro d'identification du contribuable) ; les chercheurs hors des États-Unis soumettent le formulaire W-8 approprié pour documenter leur statut étranger. La documentation de paiement des chercheurs de Bugcrowd détaille des parcours de soumission W-9 et W-8 séparés pour les personnes américaines, les personnes physiques non américaines et les entités non américaines. Si vous sautez cette étape, vos paiements restent en suspens — les plateformes ne libéreront pas les fonds sans un formulaire fiscal enregistré.
Prenez le W-9 au sérieux même en tant que chasseur occasionnel : un identifiant de contribuable manquant ou incorrect peut déclencher une retenue à la source de secours de 24 % sur vos paiements, ce qui signifie que la plateforme retient près d'un quart de chaque bounty et l'envoie à l'IRS. Vous le réconciliez éventuellement dans votre déclaration, mais c'est un prêt sans intérêt au Trésor que vous n'aviez pas besoin de faire.
Le seuil du 1099 a changé en 2026
Pendant des années, la règle était simple : gagnez 600 $ ou plus via une plateforme au cours d'une année civile et vous recevrez une déclaration d'informations (les plateformes ont historiquement utilisé le formulaire 1099-MISC pour les paiements aux chercheurs). Pour 2026, le seuil de déclaration a bondi. En vertu de la One Big Beautiful Bill Act, le seuil d'émission des formulaires 1099-NEC et de la plupart des paiements 1099-MISC est passé de 600 $ à 2 000 $ pour les paiements effectués après le 31 décembre 2025, avec des ajustements annuels pour l'inflation à partir de 2027.
En termes pratiques : si le total de vos paiements 2026 d'une plateforme reste sous 2 000 $, vous ne recevrez probablement pas de 1099 de leur part. Cela ne rend pas le revenu exonéré d'impôt. Le seuil de déclaration régit l'obligation administrative de la plateforme, pas votre obligation de déclarer. Les 1 400 $ que vous avez gagnés sur trois rapports de gravité moyenne restent un revenu imposable même sans formulaire envoyé par la poste, et l'IRS reçoit suffisamment de données tierces de nos jours pour que « personne ne l'a déclaré » ne soit pas un plan. Déclarez tout ; tenez votre propre registre plutôt que d'attendre que les formulaires vous disent ce que vous avez gagné.
Chercheurs non américains
Si vous chassez depuis l'extérieur des États-Unis, les formulaires de la série W-8 documentent votre statut étranger afin que la plateforme puisse appliquer le traitement de retenue correct. Les conventions fiscales et les règles de source de revenu — les paiements pour des services que vous effectuez depuis votre propre pays sont généralement de source étrangère — déterminent si une retenue américaine s'applique du tout. Votre pays d'origine imposera presque certainement le revenu de toute façon, alors suivez les paiements en équivalent de votre devise locale au moment de la réception. Ce guide se concentre sur le traitement fiscal américain ; si vous êtes à l'étranger, confirmez les détails avec un conseiller local.
Passe-temps ou Entreprise ? La Question Qui Détermine Vos Déductions
La question fiscale la plus conséquente pour un chasseur de bounties est de savoir si l'IRS classerait votre chasse comme une entreprise ou un passe-temps. Le revenu est imposable dans les deux cas — mais seule une entreprise peut déduire ses dépenses.
Comment l'IRS trace la ligne
L'IRS examine si vous exercez l'activité avec une réelle intention de réaliser un profit, en pesant des facteurs tels que :
- Menez-vous l'activité de manière professionnelle — en tenant des livres, en suivant le temps et les dépenses, en maintenant des comptes séparés ?
- Investissez-vous du temps et des efforts réels dans le but de gagner un revenu ?
- Dépendez-vous de ce revenu pour votre subsistance, ou est-il accessoire ?
- Avez-vous modifié vos méthodes pour améliorer la rentabilité — en vous spécialisant dans des classes de bugs mieux rémunérées, en ciblant des programmes avec de meilleures tables de récompenses ?
- Avez-vous l'expertise, la formation ou l'historique d'étude de quelqu'un qui travaille vers un profit ?
- Avez-vous réalisé un profit les années précédentes, et pouvez-vous raisonnablement vous attendre à un profit futur ?
Un chasseur qui suit ses soumissions dans un tableur, se spécialise dans des cibles à haute valeur, réinvestit dans l'outillage et gagne des paiements en augmentation constante ressemble à une entreprise. Quelqu'un qui s'amuse sur un programme le week-end deux fois par an ressemble à un passe-temps. La plupart des chasseurs sérieux se situent clairement du côté entreprise — et les propres directives de l'IRS notent qu'une activité générant un revenu secondaire année après année avec un comportement de recherche de profit est une entreprise même si vous avez aussi un emploi principal.
Il y a aussi une présomption simple en votre faveur : si votre activité montre un profit pendant trois des cinq dernières années d'imposition, l'IRS présume qu'il s'agit d'une entreprise. La plupart des chasseurs de bounties, dont les coûts sont modestes par rapport aux paiements, franchissent facilement cette barre une fois qu'ils gagnent régulièrement.
Pourquoi la distinction est plus importante que jamais
Avant 2018, les amateurs pouvaient au moins déduire les dépenses de passe-temps jusqu'à concurrence du revenu de passe-temps en tant que déduction détaillée diverse. La Tax Cuts and Jobs Act a suspendu toutes les déductions détaillées diverses pour 2018 à 2025 — et la One Big Beautiful Bill Act a rendu cette suspension permanente. Les dépenses de passe-temps sont désormais non déductibles, point final.
Donc, si votre chasse est un passe-temps, vos abonnements VPS, licence Burp Suite, VPN, cours de formation et voyages de conférence sont des dépenses personnelles en ce qui concerne le code fiscal. Si c'est une entreprise, ces mêmes coûts sont des dépenses d'entreprise ordinaires et nécessaires déductibles sur l'annexe C. Pour un chasseur dépensant quelques milliers de dollars par an en outillage et infrastructure, la classification seule peut faire varier la facture fiscale de centaines de dollars.
L'inconvénient : le traitement d'entreprise signifie la taxe sur le travail indépendant
Il n'y a pas de repas gratuit. Le revenu d'entreprise déclaré sur l'annexe C est soumis à la taxe sur le travail indépendant — 15,3 % sur 92,35 % des gains nets (jusqu'à la base salariale de la sécurité sociale, plus la partie Medicare de 2,9 % au-delà) — une fois que vos gains nets du travail indépendant atteignent 400 $ pour l'année. Le revenu de passe-temps échappe entièrement à la taxe sur le travail indépendant ; vous ne payez que l'impôt sur le revenu.
Faites le calcul pour votre situation plutôt que de supposer qu'un résultat est meilleur. Un chasseur avec 8 000 $ de paiements et 1 500 $ de dépenses déductibles en tant qu'entreprise paie l'impôt sur le revenu plus la taxe sur le travail indépendant sur 6 500 $ de bénéfice net. Le même chasseur en tant qu'amateur paie l'impôt sur le revenu sur la totalité des 8 000 $ sans déductions ni taxe sur le travail indépendant. Lequel gagne dépend de votre taux marginal d'imposition sur le revenu — mais notez que vous ne pouvez pas choisir librement. Les faits décident de la classification ; votre travail est de documenter celle que les faits soutiennent. Classifier délibérément un revenu d'entreprise comme un revenu de passe-temps pour échapper à la taxe sur le travail indépendant est le genre de position qui échoue dès que quelqu'un demande vos livres.
Déductions Utiles à Suivre en Tant que Chasseur d'Entreprise
Si votre chasse est qualifiée d'entreprise, conservez des reçus pour tout ce qui est réellement lié au gain de revenus de bounty :
- Infrastructure : instances VPS et cloud pour l'analyse et les tests, domaines pour les serveurs de callback, abonnements VPN.
- Outillage : outils et licences de sécurité commerciaux, listes de mots et ensembles de données, crédits API pour les services de reconnaissance.
- Apprentissage : cours de formation, certifications, livres et billets de conférence qui maintiennent ou améliorent vos compétences de chasse.
- Bureau à domicile : si vous utilisez une partie de votre maison régulièrement et exclusivement pour le travail de chasse, la déduction simplifiée de 5 $ par pied carré (jusqu'à 300 pieds carrés) est de l'argent facile que la plupart des chasseurs laissent sur la table.
- Frais : frais de plateforme de paiement et écarts de conversion de devises qui grignotent les paiements bruts — la différence entre le montant du bounty et ce qui arrive réellement est un coût réel.
La discipline clé est la séparation. Gérez le revenu et les dépenses de bounty via un compte dédié ou au minimum un système de suivi dédié, et enregistrez chaque paiement avec sa date, programme, plateforme, ID de rapport et montant brut par rapport au net. Ce registre est ce qui transforme une boîte à chaussures de notifications PayPal en livres professionnels — ce qui, en boucle, est en soi une preuve que vous gérez une entreprise.
Acomptes Provisionnels Trimestriels : La Facture Que Personne Ne Retient
Parce qu'aucun employeur ne retient sur les paiements de bounty, les chasseurs d'entreprise doivent généralement payer des acomptes provisionnels trimestriels (formulaire 1040-ES) dès qu'ils s'attendent à devoir 1 000 $ ou plus pour l'année. Les échéances — environ mi-avril, mi-juin, mi-septembre et mi-janvier — surprennent les gagnants de première année qui supposaient que les impôts étaient un problème d'avril. Les manquer et vous pouvez devoir une pénalité pour sous-paiement en plus de l'impôt lui-même.
Deux ports sûrs vous protègent : payez au moins 90 % de l'impôt de l'année en cours, ou au moins 100 % de l'impôt total de l'année dernière (110 % si votre revenu brut ajusté dépasse 150 000 $), répartis sur les quatre trimestres. Si vous avez aussi un emploi W-2, la solution la plus simple est souvent d'augmenter la retenue sur salaire suffisamment pour couvrir le revenu de bounty au lieu de déposer des acomptes trimestriels séparés — la retenue est traitée comme payée uniformément tout au long de l'année, peu importe quand elle est réellement retenue, ce qui en fait le moyen le plus indulgent de rester dans un port sûr.
Erreurs Courantes Qui Coûtent de l'Argent Réel aux Chasseurs
Ignorer les paiements sous le seuil du 1099. L'erreur la plus courante dans le monde des bounties. Pas de formulaire ne signifie pas pas de revenu. L'IRS fait correspondre ce qu'il peut et audite ce qu'il doit ; un revenu non déclaré découvert plus tard entraîne l'impôt plus des pénalités plus des intérêts.
Déduire des dépenses en tant qu'amateur. Les déclarations post-2018 réclamant des dépenses de passe-temps sont simplement fausses, et la suspension permanente signifie que cela ne reviendra jamais. Si vos dépenses d'outillage sont importantes, c'est un argument pour gérer votre chasse comme une véritable entreprise — avec des livres pour le prouver — pas pour déduire quand même.
Oublier la taxe sur le travail indépendant dans le budget. Les chasseurs d'entreprise de première année mettent régulièrement de côté 22 % pour l'impôt sur le revenu et oublient les ~15 % supplémentaires pour la sécurité sociale et Medicare. Une bonne règle empirique : mettez de côté 25 à 30 % de chaque paiement net le jour où il arrive, sur un compte séparé, avant d'en dépenser une partie.
Mélanger les finances personnelles et de chasse. Payer pour l'infrastructure d'analyse avec la même carte que les courses rend des livres propres impossibles et affaiblit vos preuves de classification d'entreprise. Un compte dédié ne coûte rien et se rentabilise au moment des impôts.
Traiter les goodies et récompenses non monétaires comme gratuits. Les passes de conférence, le matériel et les cartes cadeaux attribués via des programmes sont un revenu à la juste valeur marchande, comme de l'argent. Enregistrez-les à la réception.
Gardez Vos Livres de Bounty Prêts pour un Audit Dès le Premier Jour
Votre historique de paiements est dispersé entre les plateformes, les notifications PayPal et les dépôts bancaires — c'est exactement pourquoi les chasseurs sous-déclarent leurs revenus et surpaient des impôts sur des dépenses oubliées. Maintenir des registres financiers clairs est ce qui transforme une activité secondaire amusante en une entreprise défendable au moment des impôts. Beancount.io fournit une comptabilité en texte brut qui vous donne une transparence et un contrôle complets sur vos données financières — pas de boîtes noires, pas de verrouillage fournisseur. Commencez gratuitement et voyez pourquoi les développeurs et les professionnels de la finance passent à la comptabilité en texte brut.
