Service
Tests d'intrusion (VAPT)
De vraies personnes le cassent avant quiconque, et prouvent exactement comment.
Un test d'intrusion est un assessment de sécurité pratique où nos testeurs tentent d'exploiter vos systèmes comme le ferait un vrai attaquant, plutôt que de simplement lancer un scanner et d'en transmettre la sortie. Nous validons chaque constat avec une charge réelle et enchaînons les petits problèmes vers ceux qui comptent vraiment.
C'est la preuve que les auditeurs, les clients et votre propre direction demandent, et elle alimente directement les contrôles qu'attendent des référentiels comme SOC 2, ISO 27001 et PCI DSS.
Ce que nous testons
Applications Web
Logique métier, contrôle d'accès, authentification et l'OWASP Top 10, testés à la main plutôt que scannés.
API
REST, GraphQL et gRPC, face à l'OWASP API Top 10, y compris l'autorisation au niveau objet défaillante.
Cloud
Configuration et exploitation d'AWS, Azure et GCP, rapportées à des chemins d'attaque réels.
Mobile
Applications iOS et Android de bout en bout, face à l'OWASP MASVS.
IA et LLM
Injection de prompt, fuite de données et abus d'agent, face à l'OWASP LLM Top 10.
Identité et réseau
Authentification, élévation de privilèges et mouvement latéral à travers les réseaux internes et de périmètre.
Les standards que nous visons
Ce qui est inclus
- Tests manuels des applications Web, des API, du cloud et de l'identité
- Tests de logique métier, de contrôle d'accès et d'authentification que les scanners manquent
- Des constats reproductibles avec preuve, impact et note CVSS
- Un plan de remédiation priorisé que vos ingénieurs peuvent appliquer
- Un retest gratuit des correctifs
Ce que vous en retirez
- Une image claire de ce qu'un attaquant pourrait réellement faire
- Des preuves à remettre aux auditeurs et aux clients
- Des correctifs vérifiés, pas seulement signalés
Comment cela se déroule
Cadrer
Nous convenons des cibles, des règles d'engagement et des objectifs en amont, avec un périmètre fixe et un devis fixe.
Tester
Nous testons à la main sur chaque surface, enchaînant les faiblesses pour prouver un impact réel plutôt qu'un risque théorique.
Prouver
Chaque constat est reproductible, avec preuve, impact et note CVSS. Du signal, pas du bruit de scanner.
Retester
Vous corrigez, nous relançons l'exploitation pour prouver qu'elle est close. Le retest fait partie de la mission.
Ce dont nous partons
Black box
L'attaquant externe
Nous partons sans aucune connaissance interne, comme le ferait une personne extérieure, pour tester votre véritable surface d'attaque externe.
Grey box
L'utilisateur compromis
Nous partons d'un compte standard, pour voir jusqu'où un utilisateur connecté ou un employé hameçonné pourrait aller. Le choix habituel pour un SaaS en production.
White box
Couverture maximale
Nous partons d'une information complète et d'un accès au code source, pour la couverture la plus profonde sur des systèmes de pré-production ou à haute assurance.
Tests manuels vs scan automatisé
Les deux ont leur place, mais auditeurs et attaquants se soucient tous deux de la différence.
| Test d'intrusion manuel | Scan automatisé | |
|---|---|---|
| Failles de logique métier | Trouvées | Manquées |
| Chaque constat validé à la main | Oui | Non |
| Faux positifs | Rares, chacun est prouvé | Fréquents |
| Impact enchaîné et réel | Oui | Non |
| Preuves d'audit acceptées par les auditeurs | Oui | Rarement à elles seules |
Ce que cela soutient
Un test d'intrusion manuel alimente directement les contrôles qu'attendent ces référentiels, et il est souvent explicitement exigé.
- ISO 27001
- Preuve pour le contrôle A.8.8, la gestion des vulnérabilités techniques.
- SOC 2
- Preuve de tests de sécurité que les auditeurs recherchent au titre des Trust Services Criteria.
- PCI DSS
- Requirement 11, tests d'intrusion réguliers de l'environnement des données de titulaires de cartes.
- HIPAA
- Soutient les attentes de la Security Rule en matière d'évaluation et d'analyse de risque.
FAQ
- Quelle est la différence entre un scan de vulnérabilités et un test d'intrusion ?
- Un scan liste automatiquement des faiblesses potentielles. Un test d'intrusion est manuel : nous les exploitons et les enchaînons pour prouver un impact réel, et nous trouvons les failles de logique métier et de contrôle d'accès que les scanners ne peuvent pas voir.
- Un test d'intrusion aide-t-il à la conformité ?
- Oui. Les preuves alimentent directement SOC 2, ISO 27001, PCI DSS et des référentiels similaires, et sont souvent explicitement exigées.
- Le retest est-il inclus ?
- Oui. Une fois les constats corrigés, nous relançons l'exploitation pour prouver qu'ils sont clos. Cela fait partie de la mission, pas d'une vente additionnelle.
Services associés
À lire aussi
Comment lire un rapport de test d'intrusion (VAPT) : un guide en langage clair pour les équipes
Une présentation pratique du contenu d'un rapport de test d'intrusion, section par section, afin que les fondateurs et les équipes d'ingénierie puissent le lire en confiance et agir sur ce qu'il indique.
8 min de lecture
Qu'est-ce que le VAPT ? L'évaluation des vulnérabilités et les tests d'intrusion expliqués
VAPT signifie Vulnerability Assessment and Penetration Testing (évaluation des vulnérabilités et tests d'intrusion). Voici ce que recouvre chacune de ses deux composantes, en quoi elles diffèrent, ce qu'une prestation de VAPT englobe et quand vous en avez réellement besoin.
6 min de lecture
Le OWASP LLM Top 10, expliqué : un guide en langage clair pour les équipes qui déploient des fonctionnalités d'IA
Un parcours clair et pratique des dix principaux risques du OWASP pour les applications fondées sur de grands modèles de langage, avec une description en langage simple et une mesure d'atténuation concrète pour chacun, destiné aux équipes qui ajoutent des fonctionnalités d'IA pour la première fois.
9 min de lecture