Audit de cybersécurité
Audit de code source
Rappel sous 4 h ouvrées, lun.-ven. 9 h-18 h. Appel de cadrage gratuit et sans engagement.
- Dès 5 000 € HT
- Intervenant nommé dans la proposition, CV joint
- Aucune licence revendue
- Rappel sous 4 h ouvrées
Audit · 01
Ce qu'apporte un audit de code
Un test d'intrusion regarde l'application depuis l'extérieur, pendant un temps limité. L'audit de code lit l'application de l'intérieur : il voit les chemins qu'un test n'a pas eu le temps d'emprunter, les fonctions rarement appelées, les contrôles oubliés sur une seule route. Il désigne la ligne en cause et la cause racine, ce qui accélère la correction.
Lire la suiteRéduire
Les outils d'analyse statique couvrent le volume et repèrent les motifs connus. Ils ignorent le contexte métier et produisent beaucoup de bruit. La revue manuelle qualifie leurs résultats et cherche ce qu'ils ne savent pas voir : un contrôle d'accès absent sur une fonction d'export, un identifiant de client que l'on peut changer dans une requête, une étape de paiement que l'on peut sauter.
Audit · 02
Ce que nous examinerons
Authentification et gestion des sessions.
Contrôle d'accès : chaque route et chaque fonction vérifient-elles les droits de l'utilisateur ?
Injections (SQL, commandes, modèles), cross-site scripting, désérialisation.
Cryptographie : algorithmes, gestion des clés, génération d'aléa.
Secrets présents dans le code ou l'historique du dépôt.
Dépendances vulnérables et chaîne d'approvisionnement logicielle.
Journalisation des événements de sécurité.
Audit · 03
La méthode prévue
On n'audite pas 300 000 lignes avec la même attention. Le cadrage désigne les composants critiques (authentification, droits, paiement, export de données, API exposées) qui reçoivent une revue manuelle complète ; le reste passe par l'analyse statique et l'analyse des dépendances, avec vérification des alertes sérieuses.
Lire la suiteRéduire
Le référentiel est l'OWASP ASVS (Application Security Verification Standard), au niveau choisi avec vous. Chaque vulnérabilité est confirmée avant d'être rapportée : atteignable depuis l'extérieur ou non, avec quelles conditions. Le cadrage vérifie aussi que l'intervenant proposé maîtrise votre langage et votre framework ; son CV est joint à la proposition.
Audit · 04
Ce que vous recevrez
Un rapport par vulnérabilité : extrait de code, fichier et ligne, scénario d'exploitation, correction proposée.
Une cotation CVSS et une cotation du risque pour votre activité.
Une synthèse pour la direction et le responsable produit.
Un atelier de restitution avec les développeurs, pour expliquer les causes et les corrections types.
Un contre-test des corrections, en option (1 500 € HT).
Audit · 05
Combien coûtera un audit de code source ?
Prix hors taxes, lus dans notre grille tarifaire publique.
Voir tous nos tarifsLe prix de départ est de 5 000 € HT. La durée va de 5 à 12 jours selon le volume de code et le nombre de composants critiques ; elle est écrite dans la proposition, comme le prix.
Ce que nous vous demanderons : un accès en lecture au dépôt (ou une archive), la documentation d'architecture si elle existe, un développeur référent joignable pendant la mission, un environnement de test pour confirmer les vulnérabilités.
Cas type
Pour illustration : une application web métier de 40 000 lignes en PHP, avec un module de paiement et une API. Sept jours, dont la moitié sur l'authentification, les droits et le paiement.
Audit · 06
En attendant avril 2027
Si votre application est exposée sur Internet, le pentest web et API (à partir de 3 900 € HT) la teste comme un attaquant. En boîte blanche, l'intervenant peut consulter le code pour cibler ses tests, ce qui couvre une partie du besoin. Vous pouvez aussi réserver un appel dès maintenant pour cadrer un audit de code à l'ouverture.
Déroulé
Comment se déroule la prestation
Durée type : 5 à 12 jours. Les dates exactes figurent dans la proposition, avec le nom de l'intervenant.
- 01
Cadrage
Appel de 20 minutes, puis proposition écrite sous 48 h ouvrées : périmètre, référentiel, dates, prix, nom et CV de l'intervenant.
- 02
Collecte
Entretiens, revue des documents et extraction des configurations, avec des comptes en lecture seule quand c'est possible.
- 03
Analyse
Chaque écart est vérifié à la main, puis coté selon son exploitabilité et son impact sur votre activité.
- 04
Restitution
Rapport écrit, synthèse pour la direction et réunion de restitution avec vos équipes.
- 05
Suivi
Point sur l'avancement des corrections ; contre-test en option, 1 500 € HT.
Le pôle Audit de cybersécurité
La vue d'ensemble du pôle et les prestations voisines, avec leurs prix hors taxes.
Questions fréquentes
Quand pourrons-nous commander un audit de code ?
L'ouverture est prévue en avril 2027. Vous pouvez réserver un appel dès maintenant pour cadrer le besoin ; la proposition précisera la date de démarrage possible.
Quels langages et frameworks couvrirez-vous ?
Les principaux écosystèmes web et applicatifs : JavaScript et TypeScript, Python, Java, PHP, C#, Go. Pour chaque demande, le cadrage vérifie que l'intervenant proposé maîtrise votre langage et votre framework, et son CV est joint à la proposition.
Que devient notre code pendant l'audit ?
Les modalités sont écrites dans la proposition : support de stockage chiffré, accès à votre dépôt sans copie si vous le préférez, date de destruction de toute copie de travail. Vous pouvez imposer vos propres règles.
Audit de code ou pentest ?
L'audit de code trouve la ligne en cause et les failles que l'on ne voit pas de l'extérieur. Le pentest prouve ce qu'un attaquant peut réellement exploiter. Pour une première évaluation d'une application exposée, le pentest est souvent le bon point de départ.
Faut-il geler le développement pendant l'audit ?
Non. L'audit porte sur une version figée du code (une révision précise du dépôt). Vos équipes continuent de développer ; les constats restent valables tant que les parties concernées n'ont pas changé.
Un appel de 20 minutes suffit pour cadrer votre besoin
Nous rappelons sous 4 h ouvrées, du lundi au vendredi, de 9 h à 18 h. La proposition écrite suit sous 48 h ouvrées : périmètre, prix, dates, nom et CV de l'intervenant.