Sytuacja prawna Granicę między działaniem legalnym a przestępstwem wyznacza przede wszystkim zgoda właściciela systemu. W Wielkiej Brytanii nieautoryzowany dostęp – nawet w celu ujawnienia podatności dla dobra ogółu – pozostaje przestępstwem z Computer Misuse Act, zagrożonym karą do dwóch lat więzienia, a przy modyfikacji danych do dziesięciu. W Stanach Zjednoczonych badania bezpieczeństwa podlegają ustawie Computer Fraud and Abuse Act, jednak w 2022 roku Departament Sprawiedliwości ogłosił, że prowadzone w dobrej wierze badania bezpieczeństwa nie będą priorytetem ścigania. Belgia zalegalizowała etyczne hakowanie w lutym 2023 roku, w Niemczech projekt depenalizacji „paragrafu hakerskiego” przedstawiono w 2024 roku, ale nie został uchwalony. Chiny w 2021 roku zobowiązały podmioty wykrywające podatności do zgłaszania ich najpierw władzom w ciągu 48 godzin, co komentatorzy uznali za podporządkowanie pracy white hatów interesom państwa.
W Polsce ryzyko prawne dla testerów zabezpieczeń wiązało się głównie z art. 269b Kodeksu karnego, penalizującym wytwarzanie i udostępnianie „narzędzi hakerskich”.