Service 1.5
Test d’intrusion d’application mobile.
Nous testons vos applications iOS et Android et l’API qui les sert : ce que l’application garde sur le téléphone, ce qu’elle envoie, et ce qu’un utilisateur peut faire sans en avoir le droit.
1 Ce que nous testons
- Données sur l’appareil : ce que l’application stocke sur le téléphone, et si c’est protégé.
- Trafic : ce que l’application envoie, et si elle vérifie qu’elle parle bien à votre serveur (épinglage de certificat).
- Connexion : identification, sessions, et déverrouillage par empreinte ou par visage.
- Secrets dans le build : clés et mots de passe livrés à l’intérieur de l’application.
- Liens profonds : les liens depuis le web ou d’autres applications qui ouvrent des écrans ou lancent des actions.
- L’API derrière l’application, avec chaque rôle, comme dans notre test d’API.
Méthode : OWASP MASVS, OWASP MASTG, NIST SP 800-115.
2 Hors périmètre
Comptes des stores, scénarios de vol d’appareil.
3 Ce que vous fournissez
- Le build (IPA ou APK) ou le lien du store.
- Des comptes de test pour chaque rôle.
- Les plateformes dans le périmètre : iOS, Android ou les deux.
- Un contact joignable pendant les fenêtres de test.
4 Déroulé du test
- Appel de cadrage : nous fixons les plateformes, les rôles, les fenêtres de test et les personnes à appeler. Vous recevez une offre écrite avec les dates et le prix.
- Vous signez l’autorisation. Rien n’atteint votre application ni votre API avant cela.
- Nous testons l’application sur nos propres appareils de test, puis l’API qu’elle appelle.
- Une vulnérabilité critique est signalée à votre contact dès qu’elle est prouvée, sans attendre le rapport.
- Rapport et restitution, puis un contre-test une fois les corrections faites.
5 Ce que vous recevez
| Document | Contenu | Pour |
|---|---|---|
| Rapport technique | Chaque vulnérabilité avec son chemin d’exploitation, sa preuve, son score CVSS 4.0, sa CWE et sa correction. | Développeurs, DSI |
| Rapport de synthèse | Cinq à huit pages sur le risque métier, en langage clair. | Direction, conseil d’administration |
| Plan de remédiation | Les vulnérabilités classées par ordre de correction. | DSI, chefs de projet |
| Restitution | Une séance à distance pour parcourir les résultats et répondre aux questions. | Les deux |
| Attestation de contre-test | La preuve que les vulnérabilités ont été corrigées. | Auditeurs, clients |
6 Questions
- Combien de temps dure le test ?
- Cela dépend des plateformes et de la taille de l’application. L’offre écrite donne le nombre de jours de test et les dates avant que vous signiez.
- iOS et Android à la fois ?
- Oui, ou une seule des deux. Les deux applications sont testées séparément, car elles sont souvent construites différemment.
- Avez-vous besoin du code source ?
- Non. Nous testons le build que vous publiez, tel qu’un attaquant le récupère sur le store.
- L’API est-elle incluse ?
- L’API qu’appelle l’application est testée avec vos comptes. Un test d’API complet, qui couvre chaque point d’accès y compris ceux que l’application n’appelle jamais, est un service à part.
Demander un devis pour ce test
Dites-nous ce qu’il faut tester. Un testeur vous répond avec une offre écrite : périmètre, dates et prix.
Demander un devis