19 prestations
Cybersécurité offensive : tests d’intrusion, audits et red team
La cybersécurité offensive consiste à attaquer un système avec une autorisation écrite, pour trouver les failles avant qu’un criminel ne les exploite. Elle regroupe les tests d’intrusion, les audits de configuration, la revue de code et les exercices red team. Chaque faille retenue est reproduite, prouvée et accompagnée d’un correctif. Reconmind propose 19 prestations dans cette famille, dont 8 avec un prix d’entrée publié, à partir de 190 € HT.
Qu’est-ce que la cybersécurité offensive ?
On parle de cybersécurité offensive quand l’équipe de sécurité adopte le point de vue de l’attaquant. Au lieu de vérifier qu’une liste de bonnes pratiques est cochée, elle cherche à obtenir ce qu’un intrus obtiendrait : les données d’un autre client, un compte administrateur, un accès au réseau interne. Le résultat est une liste de faits démontrés, pas une liste de risques théoriques.
Le travail combine des outils automatisés, qui couvrent la surface rapidement, et un analyste, qui s’occupe de ce que les outils ne voient pas : contrôle d’accès, logique métier, enchaînement de défauts mineurs. Tout se déroule sous autorisation écrite, sur un périmètre signé, sans test de déni de service ni action destructive.
Cette famille se distingue de la cybersécurité défensive, qui corrige, surveille et intervient, et de la conformité cybersécurité, qui documente et organise. Les trois se complètent : une faille trouvée ne protège personne tant qu’elle n’est pas corrigée.
Quelles prestations relèvent de la cybersécurité offensive ?
19 prestations, chacune avec son périmètre, ses livrables, sa durée et son prix d’entrée.
Pentest web
Test d’intrusion manuel et outillé sur une application web, en boîte grise ou boîte noire. Chaque vulnérabilité remontée est reproduite, prouvée et accompagnée d’un correctif applicable.
Pentest API
Audit offensif d’API REST, GraphQL et gRPC : autorisation par objet et par fonction, abus de quotas, exposition de données, cloisonnement entre clients.
Audit cloud
Revue de configuration AWS, Azure ou GCP croisée avec des tests d’élévation de privilèges réels : identités, stockage, réseau, chaîne de déploiement.
Pentest interne
Test d’intrusion du réseau interne depuis un accès standard : ce qu’un poste compromis ou un prestataire branché atteint, cloisonnement entre segments, services exposés en interne, postes de travail, partages et secrets.
Red team
Simulation d’attaque ciblée, discrète, menée sur plusieurs semaines contre des objectifs définis avec vous, et évaluée autant sur votre détection que sur notre progression.
Audit de code
Revue de code orientée sécurité, couplée à l’analyse des dépendances, des secrets et de la chaîne de construction. Le but : supprimer la classe de défaut, pas l’occurrence.
Pentest mobile
Audit offensif d’application iOS et Android selon le référentiel OWASP MASVS : données stockées sur l’appareil, communications, authentification, résistance à la rétro-ingénierie, et API appelées par l’application.
Audit Active Directory
Revue de configuration et exploitation contrôlée de votre annuaire : droits en cascade, comptes à privilèges, services de certificats, délégations, modèle d’administration en tiers et passerelles vers Entra ID.
Audit Microsoft 365
Revue de configuration et tests offensifs d’un tenant Microsoft 365 : identités et accès conditionnels dans Entra ID, Exchange Online, SharePoint, Teams, Intune, et consentements donnés aux applications.
Pentest IA et LLM
Audit offensif d’assistants, d’agents et d’applications à base de recherche documentaire (RAG) construits sur un modèle de langage : injection de prompt, fuites de données, outils trop permissifs, sorties non filtrées.
Pentest IoT et embarqué
Audit offensif d’objets connectés et de systèmes embarqués : matériel, firmware, interfaces de débogage, communications radio (Bluetooth Low Energy, Wi-Fi, LoRa, Zigbee), application compagnon et cloud associé.
Audit Wi-Fi
Audit sur site de vos réseaux sans fil : configuration WPA2 et WPA3 Entreprise, réseau invité, points d’accès pirates, cloisonnement vers le réseau interne et exposition à l’extérieur des locaux.
Ingénierie sociale
Tests d’ingénierie sociale sous autorisation écrite : hameçonnage ciblé, appels téléphoniques (vishing) et intrusion physique dans les locaux. Le but est d’évaluer les processus et la détection, pas de piéger des personnes.
Purple team
Atelier collaboratif où nous rejouons des techniques d’attaque documentées (MITRE ATT&CK) pendant que vos équipes vérifient ce que leurs outils voient, puis améliorent les règles de détection en séance.
Audit Kubernetes
Revue de configuration et tests offensifs d’un cluster Kubernetes et de ses images : droits RBAC, isolation des pods, secrets, réseau, chaîne de construction des images, accès à l’API et aux nœuds.
Surface exposée
Cartographie et surveillance continue de ce que votre organisation expose sur Internet : domaines, sous-domaines, services ouverts, certificats, applications oubliées. Un contrôle automatisé, relu par un analyste.
Pentest post-compromission
Test d’intrusion interne en compromission supposée : nous recevons un poste de travail ou un compte comme ceux de vos salariés et cherchons à atteindre des objectifs convenus, comme l’administration du domaine, la messagerie de la direction ou les sauvegardes.
Bug bounty et VDP
Préparation d’une politique de divulgation de vulnérabilités puis, si votre maturité le justifie, d’un programme avec récompenses : périmètre, règles, circuit de triage et de correction, réponse aux chercheurs. Nous ne sommes pas une plateforme de bug bounty.
Pentest de conformité
Test d’intrusion cadré sur l’exigence d’une norme ou d’un client : PCI DSS 11.4, SOC 2, ISO 27001 annexe A 8.8, certification HDS. Périmètre, fréquence, segmentation et nouveau test sont calés sur ce que votre évaluateur attend.
Dans quels cas faut-il commencer par l’offensif ?
Ces situations types montrent quand cette famille de prestations est utile.
- Un client, un investisseur ou un assureur demande un rapport de test d’intrusion récent.
- Une application, une API ou un environnement cloud vient d’être mis en production, ou a beaucoup changé.
- Vous ne savez pas ce qu’un attaquant verrait depuis Internet, ni ce qu’il obtiendrait depuis un poste interne compromis.
- Vous voulez savoir si vos équipes détectent une attaque, et pas seulement si elle réussit.
Combien coûte une prestation de cybersécurité offensive ?
8 des 19 prestations de cette famille ont un prix d’entrée publié, de 190 € à 6 900 € HT selon la profondeur du travail ; les autres se chiffrent sur devis. Un prix d’entrée correspond à un périmètre resserré, tenable à ce montant. Le prix final dépend du périmètre réel, établi lors du cadrage gratuit.
Quelles lectures aident à choisir une prestation offensive ?
Articles
- MéthodeAutorisation de test d’intrusion : ce que doit contenir la lettrePérimètre, fenêtres, adresses IP sources, contacts, clause d’arrêt, données, signataires habilités : le contenu d’une autorisation écrite avant un test d’intrusion, et son cadre légal.
- Achat & budgetComparer des devis de test d’intrusion : la grille en neuf pointsPérimètre, jours-homme, boîte noire ou grise, rôles testés, contre-audit, livrables, qualification, cadre et prix : la grille qui rend deux devis comparables autrement que par leur total.
- MéthodeTest d’intrusion d’une application mobile : méthode, périmètre et livrablesCe que couvre un test d’intrusion d’application iOS ou Android, comment le référentiel MASVS structure la mission et ce qu’il faut préparer avant de la commander.
- VulnérabilitésSécurité des applications d’IA générative : comprendre l’injection de promptInjection de prompt, fuite de données, agents trop permissifs : les risques d’une application fondée sur un modèle de langage, et comment en limiter les effets.
- MéthodeBug bounty ou politique de divulgation : par où commencer ?Une politique de divulgation de vulnérabilités avant un programme de primes : ce que chacun apporte, l’ordre à suivre, le contenu du texte et le traitement d’un signalement.
- MéthodeLire un rapport de scan de vulnérabilités : ce qu’il prouve et ce qu’il rateUn rapport de scan est une liste de candidats, pas de faits : faux positifs, gravité hors contexte, zones non atteintes. Comment le lire et le vérifier.
- Achat & budgetCombien coûte un test d’intrusion, et ce qui fait varier le prixCe qui fait varier le prix d’un test d’intrusion (périmètre, rôles, environnement, niveau de preuve) et les prix d’entrée publiés avec ce qu’ils couvrent.
- VulnérabilitésIDOR et BOLA : une faille coûteuse pour les plateformes SaaSPourquoi un simple identifiant modifiable figure en tête de l’OWASP API Security Top 10, pourquoi aucun scanner ne la trouve, et comment la supprimer par conception.
- MéthodePréparer un test d’intrusion : la liste de contrôle avant la missionCe qu’il faut réunir avant le premier jour de test pour ne pas perdre un tiers du budget en mise en place, côté technique, organisationnel et juridique.
- Achat & budgetAudit de sécurité informatique : déroulé, livrables et prixCe qu’est un audit de sécurité informatique, les cinq étapes d’une mission, les livrables à exiger et ce qui fait varier le prix, avec les montants d’entrée de chaque type d’audit.
- VulnérabilitésOWASP Top 10 : les dix risques expliqués pour décideurs et développeursLes dix catégories de risques de l’OWASP Top 10:2025 expliquées simplement : ce que chacune recouvre, comment un test d’intrusion la vérifie et ce que le classement ne dit pas.
- MéthodeQue doit contenir un rapport de test d’intrusion ?Les éléments qu’un rapport de test d’intrusion doit contenir pour être utile : synthèse, périmètre, preuves reproductibles, gravité justifiée, recommandations et limites. Grille de vérification.
Comparatifs
- ComparatifAudit de sécurité ou test d’intrusion : quelle différence ?Un audit de sécurité examine configuration, architecture ou code pour trouver des défauts ; un test d’intrusion démontre ce qu’un attaquant obtient. Différences, prix d’entrée et situations types.
- ComparatifTest d’intrusion ou bug bounty : faut-il ouvrir un programme de primes ?Une mission cadrée et un programme de primes ont des modèles économiques opposés et des couvertures différentes. Ce que chacun apporte, ce qu’il suppose en interne, et quand l’un ne se justifie pas encore.
- ComparatifTest en boîte noire ou boîte grise : quelle différence et lequel choisir ?Un test sans aucune information ou avec comptes et documentation. La boîte grise donne plus de résultats par euro dépensé ; la boîte noire répond à une autre question. Quand choisir chacune.
- ComparatifConformité ou sécurité technique : ISO 27001, NIS 2 ou test d’intrusion ?On peut être conforme et vulnérable, solide et non conforme. Ce que couvre une démarche de conformité (ISO 27001, NIS 2), ce que mesure une démarche technique, et dans quel ordre les mener.
- ComparatifScan ou test d’intrusion : lequel choisir, critère par critère ?Un scan automatisé et un test d’intrusion portent des noms proches, mais ne répondent pas à la même question et ne coûtent pas le même prix. Critères, situations et erreur d’achat la plus fréquente.
- ComparatifTest d’intrusion ou red team : quelle différence et lequel acheter ?Le test d’intrusion cherche le plus de failles possible sur un périmètre, la red team mesure si votre défense détecte un adversaire déterminé. Pourquoi la red team est souvent achetée trop tôt.
Termes du glossaire
- DéfinitionBug bounty : définition
- DéfinitionCompromission supposée : définition
- DéfinitionCondition de course : définition
- DéfinitionCross-site scripting : définition
- DéfinitionEASM : définition
- DéfinitionÉlévation de privilèges : définition
- DéfinitionÉmulation d’adversaire : définition
- DéfinitionFaille de logique métier : définition
- DéfinitionIDOR / BOLA : définition
- DéfinitionInjection SQL : définition
- DéfinitionMicrosoft Entra ID : définition
- DéfinitionOWASP MASVS : définition
- DéfinitionPASSI : définition
- DéfinitionPCI DSS : définition
- DéfinitionRapport de test d’intrusion : définition
- DéfinitionScan de vulnérabilités : définition
- DéfinitionSSRF : définition
- DéfinitionSurface d’attaque : définition
- DéfinitionTest d’intrusion : définition
- DéfinitionBlue team et purple team : définition
- DéfinitionCSRF : définition
Les autres familles de prestations
- Famille de prestationsCybersécurité défensiveDurcissement, détection et réponse à incident : ce qui transforme un constat en risque effectivement réduit.
- Famille de prestationsConformité cybersécuritéNIS 2, ISO 27001 et sensibilisation : la partie organisationnelle, traitée sans bureaucratie inutile.
- CatalogueCatalogue complet des prestationsToutes les prestations, avec leur durée et leur prix d’entrée.
- CabinetCybersécurité à ParisLe cabinet est à Paris 3e : ce qui se fait sur site, ce qui se fait à distance, et comment prendre rendez-vous.
Quelles questions se pose-t-on sur la cybersécurité offensive ?
Qu’est-ce qui distingue la cybersécurité offensive de la défensive ?
L’offensive cherche les failles en attaquant, avec autorisation, et produit des constats prouvés. La défensive réduit la surface, surveille et intervient, et produit un risque effectivement plus bas. Les deux dépendent l’une de l’autre : sans test, on ne sait pas quoi corriger en priorité, et sans correction, un rapport de test d’intrusion reste un document.
Quels actifs tester en priorité quand on ne peut pas tout couvrir ?
Commencez par ce qui est exposé à Internet et qui porte du chiffre d’affaires ou des données sensibles : l’authentification, les API, l’espace client, les comptes à privilèges et les accès cloud. Un test sérieux sur un périmètre étroit apporte plus qu’un survol large. Le reste suit, par ordre de criticité, lors d’une mission suivante.
Comment choisir entre test d’intrusion, audit et red team ?
Le test d’intrusion répond à la question « que peut obtenir un attaquant sur ce périmètre ? ». L’audit de configuration ou de code vérifie la qualité de ce qui est en place, souvent avec plus de couverture. La red team mesure en plus la détection et la réaction de vos équipes, et suppose que les bases sont déjà solides. Un cadrage de trente minutes tranche en fonction de votre situation.
Faut-il corriger les failles connues avant de commander un test ?
Oui, quand elles sont documentées : un test d’intrusion qui redécouvre un défaut déjà listé est un test dont une partie du budget est perdue. Corrigez ce que vous savez déjà, puis faites tester ce qui reste. Si vous ne savez pas où vous en êtes, un diagnostic ou un scan indique si le périmètre est prêt.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire attaquer ?
Trente minutes de cadrage suffisent à savoir quelle prestation offensive correspond à votre besoin, sur quel périmètre, et ce qu’elle coûterait.
- Autorisation écrite obligatoire
- Accord de confidentialité systématique
- Vérification des correctifs incluse