Test d'intrusion pour PME à Bastia et en Corse
Un test d'intrusion, ou pentest, est une attaque simulée, menée avec votre autorisation écrite. Il sert à trouver les failles réellement exploitables de votre site web, de votre application ou de vos accès exposés sur internet. Nous le réalisons depuis Bastia pour des PME, des startups ou des organismes publics, dans un périmètre fixé à l'avance. Ensuite, nous vous expliquons simplement quoi corriger, et dans quel ordre.
Qu'est-ce qu'un test d'intrusion ?
Un pentest (de l'anglais penetration test) consiste à se mettre dans la peau d'un attaquant, mais avec votre accord et selon des règles précises. On ne cherche pas à dresser une liste théorique de faiblesses. On vérifie lesquelles peuvent vraiment être exploitées, et ce que cela coûterait à votre activité.
Un scan automatique ne suffit pas. L'outil repère des versions de logiciels connues pour être vulnérables, souvent répertoriées sous un identifiant CVE, le numéro public attribué à une faille connue. Lors d'un test d'intrusion, un humain étudie en plus la logique de votre application, recoupe ce qu'il observe et écarte les fausses alertes.
On distingue trois approches, selon ce que vous nous confiez. En boîte noire, nous partons de zéro, comme un attaquant extérieur. En boîte grise, nous disposons d'un compte utilisateur. En boîte blanche, nous avons accès à la documentation, parfois même au code.
Test d'intrusion de site web, à quel moment le prévoir ?
- 01
Avant une mise en ligne
Une nouvelle boutique, un espace client, une application mobile. En testant avant l'ouverture, on corrige sans pression et sans données réelles en jeu.
- 02
Après une évolution importante
Un nouveau module de paiement, des comptes utilisateurs en plus, un changement d'hébergeur. Chaque modification peut ouvrir une brèche que les tests précédents ne couvraient pas.
- 03
Quand un client ou un partenaire le demande
Les grands comptes, les acheteurs publics et les assureurs posent de plus en plus de questions sur la sécurité de vos outils. Avec un rapport de test récent, vous répondez sur des faits.
- 04
Quand vous manipulez des données sensibles
Données de santé, pièces d'identité, coordonnées bancaires, dossiers d'usagers. Plus une fuite serait grave, plus il vaut la peine de vérifier vos protections.
Pentest PME, quelques exemples par secteur d'activité
- 01
Commerce en ligne
Commande, codes de réduction, espace client, paiement. Nous vérifions qu'un client ne peut pas consulter les commandes d'un autre, ni modifier un prix.
- 02
Tourisme et hôtellerie
Le moteur de réservation, les formulaires de contact et les interfaces d'administration, souvent posés par des prestataires différents. À vérifier avant la saison.
- 03
Cabinets et professions de santé
Les portails de prise de rendez-vous et le partage de documents, là où la confidentialité est une obligation professionnelle.
- 04
Startups et éditeurs de logiciels
La plateforme en ligne et les API, c'est-à-dire les points d'accès par lesquels vos applications échangent des données.
- 05
Collectivités et organismes publics
Les portails de démarches en ligne, et tous les formulaires qui recueillent des informations personnelles sur les usagers.
Comment se déroule un test d'intrusion encadré
Aucun test ne démarre sans autorisation écrite et préalable, signée par une personne habilitée. Ni sans règles d'engagement validées ensemble.
- 01
Comprendre et cadrer
Nous parlons de votre activité, de vos outils et de ce qui vous inquiète. Puis nous fixons le périmètre exact, avec les exclusions, le type de test et les créneaux autorisés.
- 02
Préparer
De votre côté, vous vérifiez vos sauvegardes, fournissez les comptes de test convenus et prévenez votre hébergeur si ses conditions l'exigent. Chaque partie désigne un contact d'urgence.
- 03
Tester
Nous menons les tests dans le périmètre et le calendrier prévus, en suivant des méthodes publiques comme le guide de test de l'OWASP. Si une faille critique apparaît, vous êtes prévenu tout de suite, sans attendre le rapport.
- 04
Restituer
Nous vous remettons le rapport et le présentons en réunion, en visioconférence ou dans vos locaux en Haute-Corse. Chaque point doit être compris.
- 05
Vérifier
Une fois vos corrections faites, un contre-test confirme que les failles signalées sont bien refermées.
Le rapport de test d'intrusion, et l'après-mission
Le rapport a deux lecteurs. La direction reçoit une synthèse en langage courant, qui résume le niveau de risque et les priorités. La partie détaillée s'adresse à la personne ou au prestataire qui corrigera, et décrit pour chaque faille sa gravité, les éléments qui la prouvent et la correction recommandée.
Le rapport vous appartient. Nous ne le diffusons pas. Les données éventuellement consultées pendant les tests sont supprimées en fin de mission, selon ce que prévoient les règles d'engagement.
Ensuite, vous corrigez avec votre prestataire habituel, ou vous nous confiez la remédiation. Refaire un test a du sens après chaque évolution importante de votre site ou de votre application, plutôt qu'à date fixe.
À vérifier avant de commander un pentest
- 01
Qui signe l'autorisation
La personne qui autorise doit en avoir le pouvoir pour chaque système testé. Pour un site hébergé chez un tiers ou un logiciel en ligne, l'accord du fournisseur peut être nécessaire.
- 02
Un périmètre réaliste
Mieux vaut tester l'essentiel à fond que survoler l'ensemble. Le périmètre doit suivre vos risques réels, et non ce qui est facile à tester.
- 03
Production ou environnement de test
En préproduction, vos clients ne risquent rien. En production, on voit la réalité telle qu'elle est. Nous faisons ce choix ensemble, en connaissance de cause.
- 04
Un rapport exploitable
Demandez à voir comment le rapport est construit. Une liste brute sortie d'outils automatiques n'a jamais aidé personne à corriger quoi que ce soit.
- 05
Les limites du test
Un test d'intrusion photographie un périmètre donné, à un instant donné. Il ne prouve pas qu'il n'existe aucune autre faille.
Ce qui fait varier le coût d'un test d'intrusion
Nous chiffrons chaque test après le cadrage, avec un devis clair. Voici ce qui pèse le plus.
- 01
La taille du périmètre
Combien de sites, d'applications, d'adresses ou d'interfaces sont à tester.
- 02
La richesse fonctionnelle
Le nombre de pages dynamiques et de formulaires, les différents rôles d'utilisateurs, les parcours comme la commande ou le paiement.
- 03
Le type de test
Boîte noire, grise ou blanche. Plus nous avons d'informations, plus l'analyse va loin, et l'effort suit.
- 04
Les contraintes
Créneaux de nuit, environnement de test à préparer, présence sur site.
- 05
Le contre-test
Une vérification après correction, ou plusieurs, selon le nombre de failles à refermer.
Technologies et méthodes
- OWASP
- Tests d'applications web
- Boîte noire, grise ou blanche
- Règles d'engagement
- Contre-test
Questions fréquentes
Un test d'intrusion peut-il rendre mon site indisponible ?
Le risque est faible, jamais nul. Les tests sont donc planifiés, et les essais qui pourraient perturber le service sont exclus ou menés sur un environnement de test. Un contact d'urgence reste joignable du début à la fin de la mission.
Quelle différence entre un scan de vulnérabilités et un pentest ?
Le scan est automatique. Il repère des faiblesses connues, avec son lot de fausses alertes. Le pentest y ajoute un regard humain, qui vérifie ce qui est vraiment exploitable, recoupe les constats et teste la logique propre à votre application.
Faut-il prévenir mon hébergeur ?
Souvent, oui. Certains hébergeurs et services en ligne encadrent les tests de sécurité dans leurs conditions d'utilisation, et nous vérifions ce point avec vous pendant le cadrage, avant toute action.
Mon site tourne sous WordPress, un test est-il utile ?
Oui. Un CMS (un outil de gestion de contenu comme WordPress) repose sur des extensions, des thèmes et des comptes d'administration, qui sont des points d'entrée fréquents. Même à jour, un site mal configuré peut laisser filer des informations.
À quelle fréquence faut-il refaire un test d'intrusion ?
Il n'y a pas de règle unique. Le plus sensé est de tester à nouveau après chaque évolution importante du site ou de l'infrastructure. Entre deux tests, suivez les mises à jour de sécurité.