Pôle
Test d'intrusion (pentest) : prouver ce qu'un attaquant peut atteindre
Rappel sous 4 h ouvrées, lun.-ven. 9 h-18 h. Appel de cadrage gratuit et sans engagement.
- Dès 3 900 € HT
- Intervenant nommé dans la proposition, CV joint
- Aucune licence revendue
- Rappel sous 4 h ouvrées
Pentest · 01
Qu'est-ce qu'un test d'intrusion ?
Un test d'intrusion, ou pentest, est une simulation d'attaque autorisée et cadrée contre un périmètre défini. Là où un scan signale des faiblesses possibles, le pentest les enchaîne et les exploite : il transforme une hypothèse de risque en preuve, avec captures, requêtes et scénario de compromission.
Lire la suiteRéduire
Il répond à une question simple : jusqu'où un attaquant peut-il aller, par quel chemin, et qu'atteint-il ? L'intervenant raisonne comme un attaquant, contourne les protections en place et vérifie chaque résultat pour écarter les faux positifs.
Le niveau d'information partagé change la nature du test. En boîte noire, l'intervenant part de zéro, comme un attaquant extérieur. En boîte grise, il dispose d'un compte ou d'un plan, ce qui lui permet d'aller plus loin dans le temps imparti. En boîte blanche, l'accès aux configurations et au code maximise la couverture.
Pentest · 02
Pentest ou audit : la preuve ou la couverture
L'audit passe en revue l'architecture, les configurations et l'organisation pour dresser la liste des faiblesses. Le pentest concentre l'effort sur un périmètre pour démontrer une exploitation concrète. Pour savoir où vous en êtes, l'audit ; pour convaincre une direction, valider une mise en production ou répondre à une exigence d'un client ou d'un assureur, le pentest.
Audit : large couverture, cotation des écarts, vision d'ensemble.
Pentest : périmètre resserré, exploitation réelle, preuve d'impact.
Un audit peut désigner les périmètres à tester en priorité.
Pentest · 03
Nos tests d'intrusion et leurs prix
Pentest web et API : dès 3 900 € HT, 4 à 5 jours pour une application simple, dès 7 900 € HT pour une application critique.
Pentest externe : dès 4 500 € HT, ce qu'Internet voit de vous.
Pentest interne : dès 6 500 € HT, depuis un poste jusqu'à l'annuaire.
Pentest mobile : dès 6 900 € HT, ouverture prévue en avril 2027.
Pentest continu (PTaaS) : dès 490 € HT par mois, ouverture prévue en avril 2027.
Red team : sur devis, ouverture prévue en 2028.
Pentest · 04
Notre méthode : PTES, OWASP, MITRE ATT&CK
Chaque mission suit les référentiels publics du métier. PTES structure le déroulé, de la reconnaissance à la post-exploitation. Les guides OWASP encadrent les tests d'applications web et d'API, le MASVS ceux du mobile. La matrice MITRE ATT&CK sert de langage commun pour décrire les techniques employées.
Chaque action est journalisée : vous savez ce qui a été tenté, quand et depuis quelle adresse. Les tests qui pourraient perturber un service sont annoncés et validés avec vous avant d'être lancés.
Cadrage : périmètre, scénario de menace, règles d'engagement, autorisation signée.
Reconnaissance : cartographie de la surface et collecte d'informations.
Exploitation : preuve de la vulnérabilité et démonstration de l'impact.
Post-exploitation : jusqu'où mène l'accès obtenu, dans les limites convenues.
Restitution : rapport priorisé, synthèse pour la direction, plan de correction.
Pentest · 05
Ce que nous ne faisons pas
Nous ne sommes pas qualifiés PASSI. Si votre contexte exige un prestataire qualifié par l'ANSSI, nous vous le disons au premier appel et nous vous orientons vers un prestataire qualifié.
Nous ne lançons aucun test de déni de service, aucune action destructrice et aucune campagne d'ingénierie sociale sans accord écrit. Nous ne testons que les cibles listées dans l'autorisation : un actif découvert en cours de route vous est d'abord soumis.
Pentest · 06
Combien coûte un test d'intrusion ?
Prix hors taxes, lus dans notre grille tarifaire publique.
Voir tous nos tarifsNos prix partent d'un nombre de jours, écrit dans la proposition avec le nom de la personne qui les fait. Un pentest web et API démarre à 3 900 € HT pour une application simple (4 à 5 jours), un pentest externe à 4 500 € HT (5 jours) et un pentest interne à 6 500 € HT (7 jours).
Le prix monte avec la taille du périmètre : nombre d'applications et de rôles utilisateurs, plages d'adresses exposées, sites et domaines. Le contre-test, après vos corrections, coûte 1 500 € HT (-50 % s'il est commandé avec le pentest initial). Nos prix sont publics. Sur ce marché, c'est rare.
Déroulé
Comment se passe une mission
Les dates et le volume de travail figurent dans la proposition, avec le nom de l'intervenant.
- 01
Cadrage
Appel de 20 minutes, puis proposition écrite sous 48 h ouvrées : périmètre, scénario, niveau d'information, dates, prix, nom et CV de l'intervenant.
- 02
Autorisation
Vous signez une autorisation de test : cibles, dates, horaires, techniques permises, contacts d'urgence. Sans elle, rien ne commence.
- 03
Tests
Reconnaissance, recherche de vulnérabilités, exploitation contrôlée. Une faille critique vous est signalée le jour même.
- 04
Restitution
Rapport avec preuves et cotation CVSS, synthèse pour la direction, réunion avec vos équipes.
- 05
Contre-test
Vérification des corrections : 1 500 € HT (-50 % s'il est commandé avec le pentest initial).
Les prestations de ce pôle et leurs prix
Chaque prestation peut se commander seule. Les prix sont hors taxes.
Questions fréquentes
Quelle différence entre un pentest et un audit ?
L'audit couvre largement la sécurité (architecture, configuration, organisation) pour dresser la liste des faiblesses. Le test d'intrusion exploite réellement un périmètre pour prouver un impact concret. Les deux se complètent, et un audit peut désigner les périmètres à tester en priorité.
Combien de temps dure un test d'intrusion ?
4 à 5 jours pour une application web simple, 5 jours pour un pentest externe, 7 jours pour un pentest interne de PME. Les applications critiques et les grands périmètres demandent davantage. Le nombre de jours et le calendrier sont écrits dans la proposition.
Boîte noire, grise ou blanche : que choisir ?
La boîte noire simule un attaquant sans information et mesure votre exposition brute. La boîte grise (un compte, un plan) va plus loin dans le temps imparti. La boîte blanche, avec accès aux configurations ou au code, maximise la couverture. Pour un budget donné, la boîte grise est souvent le meilleur compromis.
Un pentest est-il dangereux pour la production ?
Les actions sont encadrées par des règles d'engagement et journalisées. Les tests qui pourraient perturber un service sont validés avec vous et menés en préproduction ou dans une fenêtre convenue. Aucun test de déni de service n'est lancé sans accord écrit.
Qui signe l'autorisation de test ?
Le représentant légal de l'organisation, ou une personne qui a délégation. L'autorisation liste les cibles, les dates, les horaires et les techniques permises. Accéder à un système sans autorisation est un délit (article 323-1 du Code pénal) : sans autorisation signée, nous ne commençons pas.
Êtes-vous qualifiés PASSI ?
Non. AOCSI n'est pas qualifié PASSI. Pour un test qui exige cette qualification, nous vous orientons vers un prestataire qualifié par l'ANSSI.
Un appel de 20 minutes suffit pour cadrer votre besoin
Nous rappelons sous 4 h ouvrées, du lundi au vendredi, de 9 h à 18 h. La proposition écrite suit sous 48 h ouvrées : périmètre, prix, dates, nom et CV de l'intervenant.