Un ricercatore in buona fede è una persona che esamina un sistema per individuare vulnerabilità di sicurezza e segnala responsabilmente quanto rilevato, senza voler causare danni né ottenere accesso non autorizzato. Può contattare il proprietario del sistema o avvalersi di una procedura di divulgazione coordinata delle vulnerabilità (CVD), affinché il problema possa essere valutato e risolto prima che i dettagli vengano resi pubblici.
Queste segnalazioni possono fornire ai difensori un preavviso sulle vulnerabilità che altrimenti gli aggressori potrebbero scoprire e sfruttare. Canali di segnalazione chiari e tutele credibili per la ricerca responsabile contribuiscono a incoraggiare la divulgazione; l’incertezza sulle conseguenze legali o procedurali può dissuadere i ricercatori dal farsi avanti. Agire in buona fede non significa che ogni metodo di test sia automaticamente autorizzato: i ricercatori dovrebbero quindi attenersi alle norme applicabili, ridurre al minimo l’impatto e rispettare la procedura di divulgazione dell’organizzazione.