VDP sta per Vulnerability Disclosure Policy. È un processo formale che indica ai ricercatori di sicurezza come segnalare una vulnerabilità, quali sistemi rientrano nel perimetro, quali informazioni includere e come il destinatario gestirà la segnalazione. Un buon VDP di solito indica un canale di contatto, stabilisce le aspettative sui tempi di risposta e spiega se si applicano termini di safe harbor.
I VDP sono importanti perché trasformano le segnalazioni di bug occasionali in un flusso di lavoro di sicurezza gestito. In pratica, aiutano i difensori a smistare più rapidamente i problemi, riducono la confusione e indirizzano le segnalazioni al prodotto giusto o al team di risposta agli incidenti. In attacchi reali, le stesse debolezze segnalate tramite un VDP possono poi essere sfruttate se vengono ignorate, quindi la policy è tanto un meccanismo di difesa quanto uno strumento di comunicazione. Inoltre offre ai ricercatori un canale chiaro invece di costringerli alla divulgazione pubblica per ottenere attenzione.