Évaluations
Tests Web & API
Des tests avant tout manuels, outillés quand c'est utile. Nous testons avec des comptes convenus sur des environnements convenus, et nous ne lançons jamais de vérifications destructives ou impactant la disponibilité sans accord explicite.
Périmètre
- Authentification, gestion de session et récupération de compte
- Autorisation : contrôle d'accès par rôle, par tenant et au niveau objet
- Traitement des entrées : injection, gestion de fichiers, désérialisation
- Abus de logique métier : contournements de workflow, race conditions, logique de paiement et de quotas
- Spécifique API : surexposition de données, mass assignment, rate limiting
Méthode
Des tests avant tout manuels, outillés quand c'est utile. Nous testons avec des comptes convenus sur des environnements convenus, et nous ne lançons jamais de vérifications destructives ou impactant la disponibilité sans accord explicite.
Livrable
Un rapport écrit avec synthèse de direction, constats reproductibles (requêtes exactes, routes affectées, preuves) et remédiation classée par risque réel. Un retest des constats corrigés est inclus lorsqu'il est convenu au périmètre.
Méthode
Notre approche
01
Cadrer
Chaque mission commence par un échange de cadrage et se conclut par un accord écrit : votre référentiel cible ou les systèmes et environnements dans le périmètre, ce qui en est explicitement exclu, quels comptes et données nous utilisons, et le calendrier.
02
Évaluer
Nous mesurons votre situation : une analyse d'écarts par rapport à votre référentiel cible, une revue des contrôles, des politiques et des risques, et des tests concrets là où c'est important. Le travail est manuel et méthodique, guidé par l'usage réel du système et par ce qu'un attaquant en voudrait vraiment. L'outillage soutient le travail ; il ne le remplace pas.
03
Expliquer
Vous recevez un rapport écrit et un appel de restitution. La synthèse est écrite pour ceux qui n'étaient pas dans la salle ; chaque constat porte preuves, étapes de reproduction, impact métier et correctif concret.
04
Retester
Quand votre équipe a corrigé, nous retestons les constats concernés et publions un rapport à jour indiquant clairement ce qui est résolu, partiellement résolu ou encore ouvert. Pour un programme de certification, nous préparons les preuves et nous tenons à vos côtés tout au long de l'audit, puis nous vous aidons à le maintenir à jour.
Questions fréquentes
- Testez-vous en production ou en préproduction ?
- Nous testons l'environnement que vous autorisez par écrit, généralement une copie de préproduction ou de staging avec des données représentatives. Nous n'exécutons jamais de tests destructifs ou susceptibles d'affecter la disponibilité en production sans accord explicite.
- En quoi est-ce différent d'un scan de vulnérabilités ?
- Un scan est automatisé et signale des signatures connues ; nos tests sont principalement manuels, ce qui nous permet de détecter les failles de logique métier, les contrôles d'autorisation défaillants et les exploits chaînés que les scanners manquent. L'outillage appuie le travail, il ne le remplace pas.
- Effectuez-vous un nouveau test après la correction des vulnérabilités ?
- Oui, un nouveau test des vulnérabilités corrigées est inclus lorsqu'il est prévu dans le périmètre, et nous remettons un rapport actualisé indiquant ce qui est résolu, partiellement résolu ou encore ouvert.
À lire aussi
Autres évaluations
Les missions sont à périmètre et prix fixes une fois convenus. Si vous hésitez sur le service adapté, qu'il s'agisse d'une préparation à la certification, d'un conseil en GRC ou d'un test d'intrusion, décrivez votre situation et nous recommanderons un périmètre, y compris en vous disant honnêtement si vous n'avez pas encore besoin de nous.