Test d'intrusion pour PME à Bastia et en Corse
Un test d'intrusion, ou pentest, est une attaque simulée, menée avec votre autorisation écrite, pour découvrir les failles réellement exploitables de votre site web, de votre application ou de vos accès exposés sur internet. Nous le réalisons depuis Bastia pour les PME, les startups et les organismes publics, dans un périmètre défini à l'avance, puis nous vous expliquons simplement quoi corriger et dans quel ordre.
Qu'est-ce qu'un test d'intrusion ?
Un pentest, de l'anglais penetration test, consiste à se mettre dans la peau d'un attaquant, mais avec votre accord et selon des règles précises. L'objectif n'est pas de dresser une liste théorique de faiblesses : c'est de vérifier lesquelles peuvent vraiment être exploitées, et avec quelles conséquences pour votre activité.
Il va bien au-delà d'un scan automatique. Un outil de scan repère des versions de logiciels connues pour être vulnérables, souvent répertoriées sous un identifiant CVE, c'est-à-dire le numéro public attribué à une faille connue. Dans un test d'intrusion, un humain analyse en plus la logique de votre application, recoupe les observations et écarte les fausses alertes.
Selon les informations que vous nous confiez, on parle de test en boîte noire (nous partons de zéro, comme un attaquant extérieur), en boîte grise (nous disposons d'un compte utilisateur) ou en boîte blanche (nous avons accès à la documentation, voire au code).
Test d'intrusion de site web : à quel moment le prévoir ?
- 01
Avant une mise en ligne
Une nouvelle boutique, un espace client ou une application mobile : tester avant l'ouverture permet de corriger sans pression, sans données réelles en jeu.
- 02
Après une évolution importante
Nouveau module de paiement, ajout de comptes utilisateurs, changement d'hébergement : chaque modification peut ouvrir une brèche que les tests précédents ne couvraient pas.
- 03
Quand un client ou un partenaire le demande
Grands comptes, acheteurs publics ou assureurs posent de plus en plus de questions sur la sécurité de vos outils. Un rapport de test récent vous aide à y répondre avec des éléments concrets.
- 04
Quand vous manipulez des données sensibles
Données de santé, pièces d'identité, coordonnées bancaires ou dossiers d'usagers : plus une fuite serait grave, plus il est utile de vérifier vos protections.
Pentest PME : exemples par secteur d'activité
- 01
Commerce en ligne
Parcours de commande, codes de réduction, espace client et paiement : nous vérifions qu'un client ne peut ni consulter les commandes d'un autre, ni modifier un prix.
- 02
Tourisme et hôtellerie
Moteur de réservation, formulaires de contact et interfaces d'administration, souvent installés par des prestataires différents, à vérifier avant la saison.
- 03
Cabinets et professions de santé
Portails de prise de rendez-vous et partage de documents, où la confidentialité des informations est une obligation professionnelle.
- 04
Startups et éditeurs de logiciels
Plateforme en ligne et API, c'est-à-dire les points d'accès que vos applications utilisent pour échanger des données.
- 05
Collectivités et organismes publics
Portails de démarches en ligne et formulaires qui recueillent des informations personnelles sur les usagers.
Comment se déroule un test d'intrusion encadré
Aucun test ne commence sans une autorisation écrite et préalable, signée par une personne habilitée, ni sans règles d'engagement validées ensemble.
- 01
Comprendre et cadrer
Nous échangeons sur votre activité, vos outils et vos inquiétudes, puis nous définissons le périmètre exact, les exclusions, le type de test et les créneaux autorisés.
- 02
Préparer
Vous vérifiez vos sauvegardes, fournissez les comptes de test convenus et prévenez votre hébergeur si ses conditions l'exigent. Un contact d'urgence est désigné de chaque côté.
- 03
Tester
Nous menons les tests dans le périmètre et le calendrier prévus, en suivant des méthodes publiques comme le guide de test de l'OWASP. Si une faille critique apparaît, nous vous alertons sans attendre le rapport.
- 04
Restituer
Nous vous remettons le rapport et le présentons lors d'une réunion, en visioconférence ou dans vos locaux en Haute-Corse, pour que chaque point soit bien compris.
- 05
Vérifier
Après vos corrections, un contre-test confirme que les failles signalées sont bien refermées.
Le rapport de test d'intrusion et l'après-mission
Le rapport s'adresse à deux publics. Une synthèse en langage courant, destinée à la direction, résume le niveau de risque et les priorités. La partie détaillée, destinée à la personne ou au prestataire qui corrigera, décrit chaque faille, son niveau de gravité, les éléments qui la démontrent et la correction recommandée.
Le rapport vous appartient et nous ne le diffusons pas. Les données éventuellement consultées pendant les tests sont supprimées en fin de mission, selon les modalités prévues dans les règles d'engagement.
Ensuite, vous pouvez corriger avec votre prestataire habituel ou nous confier la remédiation. Un nouveau test est utile après chaque évolution importante de votre site ou de votre application, plutôt qu'à date fixe.
Ce qu'il faut vérifier avant de commander un pentest
- 01
Qui signe l'autorisation
La personne qui autorise doit en avoir le pouvoir pour chaque système testé. Un site hébergé par un tiers ou un logiciel en ligne peut nécessiter l'accord de son fournisseur.
- 02
Un périmètre réaliste
Mieux vaut tester à fond l'essentiel que tout survoler. Le périmètre doit refléter vos risques réels, pas seulement ce qui est facile à tester.
- 03
Production ou environnement de test
Tester sur un environnement de préproduction évite tout effet sur vos clients ; tester en production reflète la réalité. Le choix se fait ensemble, en connaissance de cause.
- 04
Un rapport exploitable
Demandez à voir la structure du rapport : une liste brute de résultats d'outils automatiques n'aide personne à corriger.
- 05
Les limites du test
Un test d'intrusion donne une photographie à un instant donné, dans un périmètre donné. Il ne prouve pas qu'aucune autre faille n'existe.
Ce qui fait varier le coût d'un test d'intrusion
Nous chiffrons chaque test après le cadrage, avec un devis clair. Les principaux facteurs sont les suivants.
- 01
La taille du périmètre
Le nombre de sites, d'applications, d'adresses ou d'interfaces à tester.
- 02
La richesse fonctionnelle
Le nombre de pages dynamiques, de formulaires, de rôles utilisateurs et de parcours, comme la commande ou le paiement.
- 03
Le type de test
Boîte noire, grise ou blanche : plus nous disposons d'informations, plus l'analyse est complète, et l'effort varie en conséquence.
- 04
Les contraintes
Créneaux de nuit, environnement de test à préparer, présence sur site.
- 05
Le contre-test
Une ou plusieurs vérifications après correction, selon le nombre de failles à refermer.
Technologies et méthodes
- OWASP
- Tests d'applications web
- Boîte noire, grise ou blanche
- Règles d'engagement
- Contre-test
Questions fréquentes
Un test d'intrusion peut-il rendre mon site indisponible ?
Le risque est faible mais jamais nul. C'est pourquoi les tests sont planifiés, les essais susceptibles de perturber le service sont exclus ou menés sur un environnement de test, et un contact d'urgence reste joignable pendant toute la mission.
Quelle différence entre un scan de vulnérabilités et un pentest ?
Le scan est automatique : il repère des faiblesses connues, avec des fausses alertes. Le pentest y ajoute l'analyse humaine : il vérifie ce qui est réellement exploitable, recoupe les constats et teste la logique propre à votre application.
Faut-il prévenir mon hébergeur ?
Souvent, oui. Certains hébergeurs et services en ligne encadrent les tests de sécurité dans leurs conditions d'utilisation. Nous vérifions ce point avec vous pendant le cadrage, avant toute action.
Mon site fonctionne avec WordPress : un test est-il utile ?
Oui. Un CMS, c'est-à-dire un outil de gestion de contenu comme WordPress, repose sur des extensions, des thèmes et des comptes d'administration qui sont des points d'entrée fréquents. Une mauvaise configuration peut exposer des informations même quand le logiciel est à jour.
À quelle fréquence faut-il refaire un test d'intrusion ?
Il n'existe pas de règle unique. Le plus pertinent est de tester de nouveau après chaque évolution importante de votre site ou de votre infrastructure, et de suivre les mises à jour de sécurité entre deux tests.