Test d’intrusion

Test d’intrusion (pentest) : application web, API et site

Un test d’intrusion consiste à attaquer volontairement un système, avec l’accord de son propriétaire, pour trouver des failles avant qu’un tiers malveillant ne le fasse. WebAiLab réalise ces tests sur des applications web, des API et des sites, après signature d’une convention d’autorisation, et remet un rapport priorisé.

Notre méthode s’inspire de l’OWASP Testing Guide et de l’OWASP Top 10, deux références publiques de la sécurité des applications web. Le test porte sur un périmètre et une période définis par écrit ; rien n’est testé en dehors.

Parler de mon projetVoir les tarifs

Ce que comprend un test d’intrusion

Boîte noire, grise ou blanche

En boîte noire, nous testons sans information préalable, comme un inconnu. En boîte grise, nous disposons de comptes utilisateurs pour tester les droits d’accès. En boîte blanche, nous avons aussi accès au code ou à la configuration.

Failles courantes des applications web

Contrôle d’accès, authentification et sessions, injections, configuration, composants vulnérables, exposition de données : les catégories de l’OWASP Top 10 guident la couverture.

Tests d’API

Authentification, autorisations objet par objet, validation des entrées, limitation des appels et exposition de données dans les réponses.

Rapport avec criticité et preuves

Chaque faille est décrite avec sa criticité, les étapes pour la reproduire, une preuve et une recommandation de correction.

Qualification PASSI : à connaître

PASSI est une qualification délivrée par l’ANSSI aux prestataires d’audit de la sécurité des systèmes d’information. Elle est exigée pour certains organismes publics et opérateurs d’importance vitale ; elle n’est pas obligatoire pour la plupart des PME. Si un client ou une réglementation vous l’impose, signalez-le dès le cadrage.

Comment se déroule le projet

  1. Cadrage

    Nous définissons les objectifs, les applications et URL concernées, le type de test (boîte noire, grise ou blanche), les exclusions et les risques pour la production.

  2. Convention d’autorisation écrite

    Aucun test ne démarre sans convention signée par une personne habilitée à autoriser le test. Elle précise le périmètre, la fenêtre de test, les adresses sources et les contacts en cas d’incident. Tester un système sans autorisation est puni par les articles 323-1 et suivants du Code pénal.

  3. Réalisation du test

    Les tests sont menés dans la fenêtre convenue, de préférence sur un environnement de recette. Toute faille grave est signalée sans attendre le rapport final.

  4. Rapport, restitution et re-test

    Nous présentons les constats, puis vous corrigez ou nous corrigeons selon le devis. Un re-test vérifie que les failles corrigées ne sont plus exploitables.

Ce que vous recevez

  • La convention d’autorisation signée, avec périmètre et fenêtre de test
  • Un rapport avec niveaux de criticité, preuves et étapes de reproduction
  • Des recommandations de correction priorisées
  • Une restitution orale du rapport
  • Un re-test des corrections et une note de clôture

Pour qui

  • Entreprises qui exploitent une application web, un espace client ou une API
  • Éditeurs de petits logiciels dont les clients demandent des garanties de sécurité
  • Équipes qui préparent une mise en production ou une refonte importante

Budget d’un test d’intrusion

Le Pentest Essentiel démarre à partir de 2 490 € HT pour un test boîte grise d’une application web simple sur 3 jours, convention d’autorisation, rapport avec niveaux de criticité et re-test des failles critiques après correction. Le prix final est fixé sur devis après un échange de cadrage : il varie avec le périmètre, le nombre d’applications ou d’URL, le type de test (boîte noire, grise ou blanche), la complexité des rôles utilisateurs et la présence d’un re-test des corrections.

Le détail des formules publiées figure sur la page Tarifs.

Pour aller plus loin

Décrivez-nous votre besoin

Un premier échange permet de cadrer le périmètre et de vous proposer un devis adapté. WebAiLab est basée à Paris et accompagne ses clients dans toute la France, à distance.

Demander un devis

Préparer un test d’intrusion

Pourquoi une autorisation écrite est-elle obligatoire ?

Accéder ou se maintenir sans autorisation dans un système informatique est puni par les articles 323-1 et suivants du Code pénal, même avec de bonnes intentions. La convention signée par une personne habilitée précise le périmètre, la fenêtre de test et les contacts. Si un hébergeur ou un prestataire tiers est concerné, son accord peut aussi être nécessaire.

Quelle différence entre boîte noire, grise et blanche ?

En boîte noire, le testeur n’a aucune information préalable. En boîte grise, il dispose de comptes utilisateurs, ce qui permet de tester les droits d’accès. En boîte blanche, il a aussi accès au code ou à la configuration, ce qui approfondit l’analyse. Le choix dépend de l’objectif, du budget et du risque que l’on souhaite couvrir.

Le test peut-il perturber notre site en production ?

Un risque existe, notamment sur la charge ou les données modifiées. Il se réduit en testant de préférence un environnement de recette, en fixant une fenêtre de test, en évitant les tests de déni de service sauf demande explicite, et en prévoyant un contact joignable pendant l’intervention.

Que contient le rapport et que se passe-t-il après ?

Le rapport décrit chaque faille avec sa criticité, les étapes de reproduction, une preuve et une recommandation. Après correction, un re-test vérifie que les failles ne sont plus exploitables. Un test d’intrusion donne une image à un instant donné : il ne prouve pas l’absence de toute faille. La qualification PASSI, exigée pour certains organismes publics et opérateurs d’importance vitale, n’est pas obligatoire pour la plupart des PME.

Des guides pour préparer votre projet

Approfondissez le sujet pour préciser vos besoins et les questions à aborder lors de notre échange.