Service 1.1
Test d’intrusion d’application web.
Nous testons votre application web comme le ferait un attaquant : d’abord de l’extérieur, sans compte, puis connectés avec chaque rôle. Chaque vulnérabilité est livrée avec sa preuve et sa correction.
1 Ce que nous testons
- Contrôle d’accès : un utilisateur ou un rôle peut-il voir ou modifier ce qui appartient à un autre ? C’est la faille grave la plus fréquente des applications web, première du Top 10:2025 de l’OWASP.
- Connexion et sessions : identification, réinitialisation du mot de passe, double authentification, durée de session et déconnexion.
- Logique métier : les étapes qu’un utilisateur peut sauter, répéter ou inverser, autour des prix, des quotas, des invitations et des validations.
- Traitement des entrées : chaque endroit où l’application reçoit des données d’un utilisateur, vérifié contre les injections vers la base de données, la page ou le serveur.
- Envoi et téléchargement de fichiers : un fichier peut-il atteindre d’autres utilisateurs ou le serveur ?
- Configuration : en-têtes de sécurité, messages d’erreur, fichiers restés en ligne et scripts tiers.
Méthode : OWASP WSTG, 12 familles de tests, NIST SP 800-115.
2 Hors périmètre
Déni de service, ingénierie sociale, services tiers qui ne vous appartiennent pas.
3 Ce que vous fournissez
- Les URL dans le périmètre, et si nous testons la production ou une copie de préproduction.
- Un compte de test par rôle, et deux pour tout rôle dont les utilisateurs ne doivent pas voir les données des autres.
- La documentation de l’API, si l’interface appelle une API. Elle est facultative, et elle élargit ce que nous couvrons dans le même temps.
- Un contact joignable pendant les fenêtres de test.
- Si un pare-feu ou une limite de débit risque de nous bloquer, une liste d’autorisation pour nos adresses IP fixes. Nous vous les envoyons avant le test.
4 Déroulé du test
- Appel de cadrage : nous fixons les URL, les rôles, les fenêtres de test et les personnes à appeler. Vous recevez une offre écrite avec les dates et le prix.
- Vous signez l’autorisation. Rien n’atteint votre application avant cela.
- Test sans compte : ce que n’importe qui sur internet peut atteindre.
- Test avec des comptes : chaque rôle tente d’atteindre ce qui appartient à un autre.
- Une vulnérabilité critique est signalée à votre contact dès qu’elle est prouvée, sans attendre le rapport.
- Rapport et restitution, puis un contre-test une fois les corrections faites.
5 Ce que vous recevez
| Document | Contenu | Pour |
|---|---|---|
| Rapport technique | Chaque vulnérabilité avec son chemin d’exploitation, sa preuve, son score CVSS 4.0, sa CWE et sa correction. | Développeurs, DSI |
| Rapport de synthèse | Cinq à huit pages sur le risque métier, en langage clair. | Direction, conseil d’administration |
| Plan de remédiation | Les vulnérabilités classées par ordre de correction. | DSI, chefs de projet |
| Restitution | Une séance à distance pour parcourir les résultats et répondre aux questions. | Les deux |
| Attestation de contre-test | La preuve que les vulnérabilités ont été corrigées. | Auditeurs, clients |
6 Questions
- Combien de temps dure le test ?
- Cela dépend du nombre de rôles et de fonctionnalités. L’offre écrite donne le nombre de jours de test et les dates avant que vous signiez.
- Le test peut-il perturber la production ?
- Les tests restent dans les fenêtres convenues, partent d’adresses IP fixes, et ne provoquent jamais de déni de service ni de modification de vos données. Si vous préférez, nous testons une copie de préproduction identique à la production.
- Avez-vous besoin de notre code source ?
- Non. Nous testons de l’extérieur, comme un utilisateur. Si vous partagez le code ou la documentation, nous allons plus loin dans le même temps.
- Pouvons-nous transmettre le rapport à un client ou à un auditeur ?
- Oui. Le rapport de synthèse et l’attestation de contre-test sont rédigés pour être partagés.
Demander un devis pour ce test
Dites-nous ce qu’il faut tester. Un testeur vous répond avec une offre écrite : périmètre, dates et prix.
Demander un devis