Test d'intrusion / Pentest
Pentest externe : ce qu'Internet voit de vous
Rappel sous 4 h ouvrées, lun.-ven. 9 h-18 h. Appel de cadrage gratuit et sans engagement.
- Dès 4 500 € HT
- Intervenant nommé dans la proposition, CV joint
- Aucune licence revendue
- Rappel sous 4 h ouvrées
Pentest · 01
Votre surface d'attaque vue de l'extérieur
Ce qui est exposé sur Internet est sondé en continu par des outils automatiques. Le pentest externe commence par une reconnaissance approfondie : domaines, sous-domaines, adresses IP, certificats, services et portails accessibles. Cette phase fait souvent apparaître des actifs que l'organisation avait perdus de vue : un ancien site, un serveur de test, un service installé par un prestataire.
Lire la suiteRéduire
L'intervenant confronte ensuite cette surface aux techniques d'un attaquant : services vulnérables, interfaces d'administration exposées, VPN et portails d'authentification, identifiants réutilisés ou présents dans des fuites. L'objectif est de démontrer, s'il existe, un point d'entrée exploitable vers l'intérieur.
Pentest · 02
Ce que nous testons
Découverte : domaines, sous-domaines, adresses IP, certificats et services, à partir de sources publiques (OSINT).
Services et applications accessibles : versions vulnérables, interfaces d'administration, pages de connexion.
VPN, bureau à distance et passerelles d'accès : configuration, authentification, vulnérabilités connues.
Messagerie : webmail, authentification, configuration SPF, DKIM et DMARC.
Identifiants : comptes de votre domaine présents dans des fuites publiques, essais limités de mots de passe courants dans des bornes convenues pour ne bloquer aucun compte.
Actifs oubliés : anciens sous-domaines, environnements de test, services hébergés par un tiers.
Pentest · 03
Déroulé et durée
Cinq jours suffisent pour un périmètre de PME. À titre indicatif : une journée de reconnaissance, une à deux journées de recherche de vulnérabilités, une à deux journées d'exploitation contrôlée, puis la rédaction. La méthode suit PTES, et les guides OWASP pour les applications web rencontrées.
En boîte noire, l'intervenant ne reçoit que le nom de l'organisation ou la liste des adresses, comme un attaquant. En boîte grise, il reçoit en plus un compte VPN ou webmail, pour tester ce qui se passe après l'authentification. Les tests se déroulent aux horaires convenus ; aucun test de déni de service n'est lancé sans accord écrit.
Pentest · 04
Ce que vous recevez
Un rapport technique : chaque vulnérabilité avec sa description, sa preuve, sa cotation CVSS et la correction recommandée.
Une synthèse pour la direction, transmissible à un client ou à un assureur.
La carte de votre surface exposée : tous les actifs découverts, y compris ceux que vous ne connaissiez pas.
Un plan de correction classé par priorité et par effort.
Une réunion de restitution avec vos équipes ou votre infogérant.
Un contre-test des corrections en option : 1 500 € HT (-50 % s'il est commandé avec le pentest initial).
Pentest · 05
Combien coûte un pentest externe ?
Prix hors taxes, lus dans notre grille tarifaire publique.
Voir tous nos tarifsLe pentest externe démarre à 4 500 € HT pour 5 jours. Ce prix correspond à un périmètre de PME : quelques adresses IP publiques, un VPN, une messagerie, un ou deux sites. Au-delà, ou si une application web doit être testée en profondeur, le nombre de jours augmente ; il est écrit dans la proposition, avec le nom de l'intervenant. Une application complexe relève plutôt du pentest web et API.
Cas type
Pour illustration (ce n'est pas une référence client) : une ETI de 300 salariés qui expose douze adresses IP, un VPN, un webmail et un extranet client. Cinq jours, dont une journée sur l'extranet en boîte grise avec un compte de test.
Pentest · 06
Ce que nous attendons de vous
La liste de vos domaines et plages d'adresses, que nous complétons par la reconnaissance et que vous validez.
L'autorisation de test signée par une personne habilitée.
L'accord ou l'information de vos hébergeurs et prestataires, quand leurs conditions l'exigent.
Un contact technique joignable pendant les fenêtres de test.
Votre choix : prévenir ou non votre infogérant et votre équipe de surveillance.
Déroulé
Comment se déroule la prestation
Durée type : 5 jours. Les dates exactes figurent dans la proposition, avec le nom de l'intervenant.
- 01
Cadrage
Liste des domaines et adresses, scénario, fenêtres de test. Proposition écrite sous 48 h ouvrées.
- 02
Autorisation
Vous signez l'autorisation de test ; nous vérifions les conditions de vos hébergeurs et de vos prestataires.
- 03
Reconnaissance
Découverte de tout ce qui est exposé, y compris ce que vous aviez oublié. Vous validez la liste avant les tests.
- 04
Tests et exploitation
Recherche de vulnérabilités et exploitation contrôlée. Une faille critique vous est signalée le jour même.
- 05
Restitution
Rapport, carte de la surface exposée, plan de correction, réunion avec vos équipes.
Le pôle Test d'intrusion / Pentest
La vue d'ensemble du pôle et les prestations voisines, avec leurs prix hors taxes.
Nos guides sur le sujet
Questions fréquentes
Le pentest externe couvre-t-il le réseau interne ?
Il s'arrête au point d'entrée depuis Internet et démontre qu'il est exploitable. La progression à l'intérieur relève du pentest interne, avec lequel il se combine pour couvrir toute la chaîne.
Qui signe l'autorisation de test ?
Le représentant légal de l'organisation, ou une personne qui a délégation. L'autorisation liste les adresses, domaines, dates, horaires et techniques permises. Pour un service hébergé chez un tiers, nous vérifions ses conditions : certains hébergeurs demandent à être prévenus. Sans autorisation signée, nous ne commençons pas.
Faut-il arrêter la production ?
Non. Les tests sont calibrés pour ne pas perturber vos services et aucun test de déni de service n'est lancé sans accord écrit. Un équipement fragile peut toutefois réagir mal à certains tests : c'est pourquoi un contact technique reste joignable et que les fenêtres de test sont choisies avec vous.
Faut-il prévenir notre infogérant ou notre équipe de surveillance ?
Cela dépend de l'objectif. Si vous voulez aussi mesurer leur réaction, seule une personne de votre côté est informée. Sinon, prévenez-les pour éviter qu'ils bloquent nos adresses de test, que nous indiquons dans la proposition.
Et si vous découvrez des actifs qui ne sont pas à nous ?
Nous ne les testons pas. Chaque actif découvert pendant la reconnaissance vous est soumis ; seuls ceux que vous confirmez et qui figurent dans l'autorisation sont testés.
Le contre-test est-il compris ?
Non, il est en option : 1 500 € HT (-50 % s'il est commandé avec le pentest initial). Il vérifie que chaque correction fonctionne et produit une attestation du statut des vulnérabilités.
Un appel de 20 minutes suffit pour cadrer votre besoin
Nous rappelons sous 4 h ouvrées, du lundi au vendredi, de 9 h à 18 h. La proposition écrite suit sous 48 h ouvrées : périmètre, prix, dates, nom et CV de l'intervenant.