Test d’intrusion applicatif : trouvez vos failles avant les attaquants
Applications web, API, applications mobiles : nous cherchons ce qu’un attaquant pourrait réellement obtenir. Chaque faille est prouvée, expliquée, puis vérifiée après correction.
- Cibles
- Web, API, mobile
- Rapport
- Sous 2 à 4 semaines
- Contre-test
- Inclus
- Tarif
- À partir de 6 000 € HT
Web, API, mobile. Un périmètre fixé avant le premier test.
Nous partons de vos rôles, de vos parcours et de vos données sensibles. Le test peut couvrir une seule cible ou plusieurs composants d’un même produit.
Application web
Ce que vos utilisateurs atteignent depuis leur navigateur, et ce qu’ils ne devraient pas pouvoir atteindre.
- Authentification et sessions
- Droits d’accès entre comptes et entre rôles
- Parcours métier
- Téléversement de fichiers
- Exposition des données
API REST ou GraphQL
Les points d’entrée de votre produit, qu’ils servent votre interface, vos clients ou vos intégrations.
- Contrôles d’accès
- Validation des entrées
- Limites d’usage
- Exposition des objets
- Logique métier
Application mobile
L’application installée sur le téléphone, ce qu’elle conserve sur l’appareil et ce qu’elle échange avec votre API.
- Stockage local
- Échanges avec l’API
- Gestion des secrets
- Configuration propre à la plateforme
Un scan ne suffit pas. Nous testons ce que votre application devrait interdire.
Les deux se complètent : le scan couvre la surface en continu, le test d’intrusion va en profondeur, ponctuellement.
Un outil automatisé
- Compare votre application à une base de failles connues
- Ignore votre logique métier : un compte gratuit qui consulte la facturation d’un autre client passe inaperçu
- Signale ce qui ressemble à une faille, sans prouver qu’elle est exploitable
- Rapide et peu coûteux : à lancer à chaque livraison, dans votre intégration continue
Un testeur qui attaque
- Part de vos rôles, de vos parcours et de vos données sensibles
- Exploite les failles, puis les enchaîne, logique métier comprise
- Prouve ce qui est réellement exploitable et comment
- Réalisé par nos soins, sans sous-traitance
Références
Nos tests s’appuient sur les guides de l’OWASP, la fondation dédiée à la sécurité des applications, notamment le Top 10 et le Testing Guide.
Cadrer, tester, restituer. Puis vérifier vos corrections.
Rapport sous 2 à 4 semaines à partir de la mise à disposition des accès, selon le nombre de cibles à tester.
Cadrage
Nous fixons ensemble les cibles, les comptes de test, l’environnement, les exclusions et les dates. Vous nous transmettez les accès, la documentation utile et un contact joignable pendant les tests.
Tests
Nous cherchons les vulnérabilités et vérifions, pour chacune, qu’elle est réellement exploitable. Nous conservons de quoi la reproduire.
- 2 à 4 semaines
Rapport et restitution
Nous présentons le rapport à vos équipes technique et produit : scénarios d’attaque, réponses à leurs questions, ordre des corrections.
- Inclus
Contre-test
Une fois vos corrections en place, nous vérifions que chaque faille est fermée et qu’aucune correction n’en a ouvert une nouvelle.
Pour aller plus loin
Quand lancer un test, comment le préparer, ce qu’il faut exiger du rapport.Lire notre guide du test d’intrusion
Décider,
puis corriger.
Le rapport doit permettre de choisir quoi corriger en premier, puis de confier chaque sujet à la bonne personne.
Une synthèse pour la direction
Le niveau de risque global, les constats majeurs et les décisions à prendre, lisibles sans bagage technique.
Le détail de chaque vulnérabilité
Sa gravité, notée selon le CVSS (le barème standard de criticité des vulnérabilités), son impact métier, les étapes pour la reproduire et les preuves de son exploitation.
Des recommandations priorisées
Pour chaque faille, une correction adaptée à votre environnement technique et à vos contraintes, jamais un simple lien vers une page générique.
Un statut à jour après le contre-test
Chaque vulnérabilité signalée est vérifiée après correction, et son statut mis à jour dans le rapport.
Des preuves pour vos clients et votre auditeur
Le rapport et le suivi des corrections répondent à l’exigence d’un client et documentent votre démarche de conformité.
Exigé par un client, attendu par un référentiel. Un seul test pour les deux.
Le rapport et le suivi des corrections servent de preuves. Ils ne remplacent pas les autres exigences du référentiel ou du règlement.
- CertificationAnnexe A · 8.8 et 8.29
ISO 27001
La norme n’impose pas de test d’intrusion. Selon votre analyse de risques, il peut documenter la gestion des vulnérabilités techniques (mesure 8.8) et les tests de sécurité dans le développement et l’acceptation (mesure 8.29).
- AttestationCritère CC4.1
SOC 2
Le test d’intrusion n’y est pas obligatoire. Les critères de l’AICPA, l’association professionnelle des experts-comptables américains qui publie le référentiel SOC 2, le citent toutefois parmi les évaluations qui vérifient que vos contrôles fonctionnent.
- Réglementation UEArticles 24 et 25
DORA
Hors microentreprises, les entités financières doivent tester au moins une fois par an les systèmes et applications qui soutiennent leurs fonctions critiques ou importantes. Les tests d’intrusion figurent parmi les tests prévus par le règlement.
- Réglementation UEAnnexe I · partie II
CRA
À partir du 11 décembre 2027, les fabricants de logiciels et de produits connectés devront soumettre régulièrement leurs produits à des tests et examens de sécurité efficaces.
Un prix fixé par le périmètre. Seul ou dans un accompagnement.
Le prix dépend du nombre de cibles, de leur taille et des parcours à tester. Nous l’évaluons avec vous lors du premier échange.
- Mission ponctuelle
Test d’intrusion
À partir de6 000 € HT
Rapport sous 2 à 4 semaines, restitution et contre-test inclus.
- Accompagnement
RSSI externalisé
Test d’intrusion annuelInclus
Nous tenons le rôle de responsable de la sécurité des systèmes d’information (RSSI), de l’état des lieux à la conformité, avec chaque année 5 jours de test d’intrusion ou, si vous le préférez, d’audit technique.
- Accompagnement
Accompagnement à la conformité
Test d’intrusionEn option
Votre RSSI pilote la démarche. Le test d’intrusion s’ajoute quand votre référentiel ou un client l’attend.
- Accompagnement
Sur mesure
Tests d’intrusionRécurrents
Plusieurs référentiels menés de front, des tests d’intrusion récurrents et des missions intégrées au même plan.
Combien coûte un test d’intrusion (pentest) ?
À partir de 6 000 € HT pour une mission ponctuelle. Le prix dépend du nombre de cibles, de leur taille et des parcours à tester : un périmètre restreint et bien documenté coûte moins cher qu’une application tentaculaire. Le RSSI externalisé inclut un test d’intrusion annuel de 5 jours.
Comment comptez-vous les cibles ?
Une cible est un périmètre cohérent : une application web, une API ou une application mobile. Une application et son API forment une ou deux cibles selon leur taille et les parcours à tester. Nous en décidons ensemble au cadrage.
Faut-il tester en production ?
Pas nécessairement. Un environnement de préproduction convient s’il reproduit fidèlement la configuration, les droits et les fonctionnalités de la production. Nous choisissons l’environnement au cadrage et convenons des précautions à prendre.
Boîte noire, grise ou blanche : que choisir ?
En boîte noire, le testeur part de zéro, comme un attaquant externe : c’est réaliste, mais une partie du temps sert à cartographier ce que vous connaissez déjà. En boîte grise, il dispose de comptes applicatifs et connaît les rôles, ce qui concentre l’effort sur l’exploitation. En boîte blanche, il accède aussi au code source, ce qui se justifie pour les composants les plus sensibles. Pour un premier test sur une application métier, la boîte grise est presque toujours le bon choix.
Aidez-vous nos développeurs à corriger les failles ?
Oui. Après la restitution, nous échangeons avec vos développeurs pour expliquer les failles et discuter des corrections possibles dans votre environnement technique. Le contre-test vérifie ensuite que les vulnérabilités sont bien fermées et que les changements n’ont pas créé d’autre problème.
Testez-vous les fonctionnalités d’IA ?
Oui, lorsqu’elles font partie du périmètre. Un assistant conversationnel, une recherche augmentée ou un agent élargissent la surface d’attaque : un modèle mal cadré peut divulguer des données ou déclencher des actions non prévues. Nous les intégrons au cadrage comme n’importe quelle autre fonctionnalité.
Prestataire d’une entité financière, sommes-nous concernés par les tests DORA ?
Les obligations de test de DORA s’adressent aux entités financières. Si votre service soutient l’une de leurs fonctions critiques ou importantes, votre contrat doit toutefois prévoir votre participation à leurs tests d’intrusion fondés sur la menace (TLPT), pour celles qui y sont soumises. Vos clients peuvent aussi vous demander un rapport de test d’intrusion récent.
Conseil et test d’intrusion par la même équipe : un conflit d’intérêts ?
Un test d’intrusion n’est pas un audit de certification, et nous ne délivrons aucun certificat. Chaque vulnérabilité est documentée avec ses étapes de reproduction, pour que votre équipe ou un tiers puisse la vérifier. Lorsque nous vous accompagnons aussi vers la conformité, les constats du test alimentent directement l’analyse de risques et le suivi des corrections.
Un test d’intrusion engage-t-il à un accompagnement ?
Non. Si vous avez seulement besoin de répondre à un client, nous réalisons le test, livrons un rapport exploitable, et vous décidez de la suite. Le rapport peut aussi servir de point de départ à une analyse de risques ou à une démarche de certification.
Vos interlocuteurs
Préparons votre test d’intrusion.
Un premier échange gratuit de 30 minutes pour examiner les applications à tester, les accès à prévoir, le calendrier et le budget.