Test d'intrusion / Pentest
Pentest web et API
Rappel sous 4 h ouvrées, lun.-ven. 9 h-18 h. Appel de cadrage gratuit et sans engagement.
- Dès 3 900 € HT
- Intervenant nommé dans la proposition, CV joint
- Aucune licence revendue
- Rappel sous 4 h ouvrées
Pentest · 01
Pourquoi tester vos applications web et API
Une application exposée sur Internet est sondée en permanence par des outils automatiques. Le pentest web reproduit ces tentatives, puis va plus loin : injection, cross-site scripting, gestion des sessions, contournement de l'authentification. Sur les API, il vérifie l'authentification, l'autorisation objet par objet et les données renvoyées en trop.
L'intervenant comprend le rôle de chaque fonction pour repérer ce qu'aucun outil ne voit : un utilisateur qui accède aux données d'un autre en changeant un identifiant, un prix que l'on modifie dans la requête, une étape de validation que l'on saute.
Pentest · 02
OWASP Top 10, et la logique métier
L'OWASP Top 10 et l'OWASP API Security Top 10 structurent la couverture technique : aucune grande famille de vulnérabilités n'est oubliée. Les failles de logique métier, propres à votre application, sont absentes de ces listes et invisibles au scan ; c'est là que le temps de l'intervenant compte le plus.
Injections (SQL, commandes, modèles) et cross-site scripting.
Authentification, gestion des sessions et des jetons.
Contrôle d'accès horizontal et vertical : accès aux données d'un autre client, élévation de rôle.
Logique métier : enchaînements de fonctions, montants, quotas, validations.
API REST et GraphQL : autorisation par objet, exposition excessive de données, limitation de débit.
Pentest · 03
Prix et durée
Prix hors taxes, lus dans notre grille tarifaire publique.
Voir tous nos tarifsUne application simple (un ou deux rôles, quelques dizaines d'écrans) se teste en 4 à 5 jours, à partir de 3 900 € HT. Une application critique (plusieurs rôles, paiement, données sensibles) démarre à 7 900 € HT. Le contre-test coûte 1 500 € HT (-50 % s'il est commandé avec le pentest initial).
Pour démarrer, nous avons besoin d'un compte par rôle à tester, d'un environnement de préproduction si vous en avez un, et de la documentation de l'API (OpenAPI ou collection Postman) si elle existe.
Déroulé
Comment se déroule la prestation
Durée type : 4 à 5 jours. Les dates exactes figurent dans la proposition, avec le nom de l'intervenant.
- 01
Cadrage
Appel de 20 minutes, puis proposition écrite sous 48 h ouvrées : périmètre, scénario, niveau d'information, dates, prix, nom et CV de l'intervenant.
- 02
Autorisation
Vous signez une autorisation de test : cibles, dates, horaires, techniques permises, contacts d'urgence. Sans elle, rien ne commence.
- 03
Tests
Reconnaissance, recherche de vulnérabilités, exploitation contrôlée. Une faille critique vous est signalée le jour même.
- 04
Restitution
Rapport avec preuves et cotation CVSS, synthèse pour la direction, réunion avec vos équipes.
- 05
Contre-test
Vérification des corrections : 1 500 € HT (-50 % s'il est commandé avec le pentest initial).
Le pôle Test d'intrusion / Pentest
La vue d'ensemble du pôle et les prestations voisines, avec leurs prix hors taxes.
Nos guides sur le sujet
Questions fréquentes
Testez-vous les applications en production ?
C'est possible, avec des règles d'engagement strictes. Quand les tests risquent de modifier des données, nous préférons une préproduction identique à la production, ou une fenêtre convenue avec vous.
Un scan applicatif suffit-il ?
Non. Un scan repère des motifs connus mais ignore le contexte métier. Il ne détecte ni les failles de logique ni les contournements d'autorisation, qui demandent l'analyse d'une personne.
Le rapport peut-il être transmis à un client ou à un assureur ?
Oui. Le rapport comprend une synthèse transmissible, distincte du détail technique. Sur demande, une lettre de synthèse indique le périmètre testé, les dates et le statut des corrections après contre-test.
Un appel de 20 minutes suffit pour cadrer votre besoin
Nous rappelons sous 4 h ouvrées, du lundi au vendredi, de 9 h à 18 h. La proposition écrite suit sous 48 h ouvrées : périmètre, prix, dates, nom et CV de l'intervenant.