Un test d’intrusion qui met fin aux débats — pas un export de scanner.

Le test d’intrusion externe répond à la question que posent réellement toute revue de sécurité client et tout renouvellement d’assurance : que pourrait atteindre un attaquant compétent depuis Internet aujourd’hui ? Nous attaquons votre surface exposée — applications web, API exposées, infrastructure et intégrations tierces associées — à partir d’OSINT et de découverte d’actifs, car les actifs oubliés sont souvent ceux qui comptent. C’est le point de départ le plus fréquent, et la base attendue par la plupart des obligations externes.

Le test d’intrusion interne est une mission en hypothèse de compromission : nous partons d’un point d’ancrage dans le réseau et mesurons jusqu’où un attaquant progresse avant d’être arrêté. L’objectif est généralement Domain Admin, un magasin de données privilégié ou une charge de travail critique. Le résultat est une vue quantifiée du périmètre d’impact interne et de l’exposition aux rançongiciels — un chiffre qu’un conseil et un directeur financier peuvent réellement utiliser.

Tous les prestataires de tests d’intrusion ne livrent pas la même chose. Ce qui distingue un test utile d’un export de scanner, ce sont des praticiens seniors qui réalisent le travail, des preuves reproductibles pour chaque constat, une gravité notée selon l’impact métier et un plan de remédiation sur lequel votre équipe peut agir. Avant de signer, demandez qui réalisera réellement le test, comment le périmètre est fixé et ce que contient le rapport.

Nous n’inventons pas de méthodologie — nous utilisons, citons et étendons des standards reconnus, et vous indiquons lesquels avant le début de la mission. Chaque test suit le même cycle en six étapes, pour que vous sachiez toujours ce qui vient ensuite.

Cadrage. Nous définissons les objectifs, les actifs, le modèle de menace, les règles d’engagement, les livrables et une tranche tarifaire, jusqu’à un énoncé de travaux signé.

Lancement. Nous confirmons les règles d’engagement, les contacts, les chemins d’escalade, le calendrier, les canaux de communication sécurisés et les accès en un seul appel de 60 minutes.

Exécution. Le test lui-même, calibré sur la classe d’actifs. Les constats critiques sont remontés sous quatre heures ouvrées après leur découverte — jamais retenus jusqu’au rapport.

Reporting. Nous produisons le dossier de mission à trois livrables et le soumettons à une relecture interne par les pairs avant que vous ne le voyiez.

Restitution. Deux séances — un parcours technique avec vos ingénieurs et une restitution exécutive avec la direction — ainsi que des échanges sur le plan d’action.

Clôture et contre-test optionnel. Le plan d’action est remis à ses responsables, et vous pouvez choisir un contre-test ciblé des constats critiques et élevés avec une attestation mise à jour.

La base de standards dépend de l’actif : PTES et MITRE ATT&CK pour le travail externe et interne ; l’OWASP Web Security Testing Guide et l’API Security Top 10 pour le web et les API ; OWASP MASVS pour le mobile ; la matrice MITRE ATT&CK Cloud et les CIS Benchmarks pour le cloud.

Nous facturons à prix fixe, par tranche de périmètre — pas à la journée. Pour un test externe ou interne, la tranche dépend du nombre d’actifs concernés et de la complexité de l’environnement ; pour le web et les API, du nombre de rôles, de points d’accès et de la complexité de logique métier de l’application. Nous vous communiquons la tranche au cadrage, avant toute signature, sans surprise de taux journalier.

Quelques choses que nous ne faisons délibérément pas : nous ne vendons pas de taux journaliers, nous ne revendons ni ne sur-vendons d’outils, et nous ne percevons aucune commission d’éditeur — le test est ainsi calibré pour répondre à votre vraie question, et non pour maximiser la mission. Si vous travaillez avec un budget, indiquez-le au cadrage et nous serons clairs sur ce qu’il couvre.