Un Programma di divulgazione delle vulnerabilità (VDP) è un processo pubblico che consente a ricercatori di sicurezza o utenti di segnalare debolezze di sicurezza a un'organizzazione tramite un canale di contatto definito. A differenza di un programma bug bounty, un VDP non garantisce un pagamento; il suo scopo principale è l'acquisizione sicura delle segnalazioni, la classificazione iniziale e la correzione. Un buon VDP di solito definisce cosa può essere segnalato, come inviarlo, quali informazioni includere e come l'organizzazione risponderà.
I VDP sono importanti perché riducono la probabilità che le vulnerabilità scoperte rimangano non segnalate o vengano esposte pubblicamente prima che i difensori possano intervenire. Nel lavoro di sicurezza reale, i ricercatori usano questi programmi per segnalare problemi come credenziali esposte, configurazioni non sicure e bug software sfruttabili. I difensori usano il programma per tracciare le segnalazioni, verificare l'impatto, dare priorità alle correzioni e documentare la chiusura. Regole chiare di divulgazione riducono anche gli abusi e aiutano a distinguere le segnalazioni responsabili da estorsione, spam o condivisione accidentale di dati.