Test d’intrusion d’application mobile iOS et Android (pentest mobile)
Ce qu’un attaquant tire d’un téléphone qui contient votre application.
Réponse courte
Pentest mobile : de quoi s’agit-il, pour qui, à quel prix ?
Audit offensif d’application iOS et Android selon le référentiel OWASP MASVS : données stockées sur l’appareil, communications, authentification, résistance à la rétro-ingénierie, et API appelées par l’application. Durée indicative : 4 à 10 jours selon les plateformes et la profondeur. Prix : sur devis, après un cadrage gratuit. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
Une application mobile se distingue d’une application web sur un point : elle est installée chez des gens que vous ne contrôlez pas, sur des appareils que vous ne contrôlez pas. Le binaire peut être décompilé, la mémoire inspectée, le trafic redirigé et les contrôles réalisés côté client contournés. Tout ce que l’application embarque (clés, adresses internes, logique de validation) doit donc être considéré comme lisible par quiconque la télécharge.
La mission suit la structure du référentiel MASVS : définition de l’OWASP, avec le guide de test MASTG comme méthode : stockage local des données, cryptographie, authentification et autorisation, communications réseau, interactions avec la plateforme (liens profonds, composants exportés, presse-papiers, WebView), qualité du code et résistance à la rétro-ingénierie. L’analyse statique du paquet est complétée par des tests dynamiques sur un appareil de test, avec l’application instrumentée.
Les API appelées par l’application sont testées dans la même mission, parce que c’est là que se trouvent les défauts les plus coûteux : l’application masque un bouton, le serveur accepte pourtant la requête. Le niveau de résistance à la rétro-ingénierie attendu dépend de votre risque, il se décide au cadrage et n’est jamais appliqué par défaut.
En résumé
- Durée indicative
- 4 à 10 jours selon les plateformes et la profondeur
- Prix
- sur devissur devis après cadrage : le prix dépend du nombre de plateformes, d’écrans et d’API couverts
- Référentiels appliqués
- OWASP MASVSOWASP MASTGOWASP Mobile Top 10OWASP API Security Top 10NIST SP 800-115
Mission conduite sous autorisation écrite, avec accord de confidentialité et clause d’arrêt immédiat.
Réponse à toute demande sous 24 h ouvrées.
Pentest mobile : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Stockage local des données
Bases locales, préférences, journaux, sauvegardes de l’appareil, captures d’écran du système, presse-papiers : ce qui reste sur le téléphone après usage, et ce qu’un tiers peut en lire.
Communications réseau
Chiffrement du trafic, validation des certificats, épinglage et son contournement, détournement du trafic par un réseau hostile, données sensibles dans les requêtes.
Authentification et sessions
Parcours de connexion, jetons et durée de vie, biométrie réellement liée à une preuve côté serveur plutôt qu’à un simple booléen local, déconnexion et révocation.
Interactions avec la plateforme
Liens profonds, intents et composants exportés sur Android, schémas d’URL sur iOS, WebView et pont JavaScript, extensions et partage inter-applications.
Rétro-ingénierie et altération
Secrets et clés dans le binaire, détection de l’appareil modifié, intégrité du paquet, obfuscation. Niveau visé choisi avec vous selon le risque réel.
API et services associés
Contrôle d’accès par objet, abus de fonctionnalités, limitation de débit et exposition de données, avec au moins deux identités par rôle.
Pentest mobile : que livre la mission ?
- Rapport technique : une fiche par constat, avec preuve, impact et correctif
- Synthèse pour la direction produit, lisible sans bagage technique
- Matrice des contrôles MASVS vérifiés, avec leur résultat
- Preuves rejouables : requêtes, scripts d’instrumentation, captures
- Restitution avec les équipes de développement iOS, Android et back-end
- Une passe de vérification des correctifs incluse
Qu’est-ce que cela change pour vous ?
- Une vision claire de ce qui est lisible ou modifiable sur un téléphone compromis ou contrôlé par l’attaquant
- Des défauts d’API trouvés par l’angle de l’application, souvent absents des tests web
- Un rapport rattaché à MASVS, utilisable face à un client ou un comité de sécurité
Vérification des correctifs incluse
Une passe de contrôle rejoue les preuves d’origine jusqu’à trois mois après le rapport, et produit une attestation de correction.
Pentest mobile : pour qui est-ce utile ?
- Éditeurs d’applications grand public manipulant des comptes, des paiements ou des données personnelles
- Banques, assurances et acteurs de la santé qui distribuent une application à leurs clients
- Éditeurs SaaS dont le client mobile est devenu le principal point d’accès
- Équipes qui préparent une publication majeure, une refonte d’architecture ou la demande d’un grand compte
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Pentest mobile : combien de temps dure la mission ?
Durée indicative : 4 à 10 jours selon les plateformes et la profondeur. Les 6 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Définir ce qui est testé, ce qui est exclu, et ce qu’une réussite signifierait pour vous.
- 02
Autorisation et règles d’engagement
Aucune requête n’est émise avant une autorisation écrite nominative sur un périmètre explicite.
- 03
Reconnaissance et cartographie
Établir la surface réelle, presque toujours plus large que l’inventaire fourni.
- 04
Tests et exploitation
Vérifier les vulnérabilités connues, puis chercher ce qu’aucun outil ne trouve.
- 05
Rapport et restitution
Deux lectures : une synthèse de décision, un rapport technique actionnable.
- 06
Vérification des correctifs
Vérifier que ce qui a été corrigé l’est bien, sans régression.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Autorisation écrite avant toute requêteNominative, sur un périmètre et une période écrits. Hors périmètre, rien n’est sondé.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Arrêt immédiat sur simple demandeUn contact que vous désignez peut interrompre la mission par un seul message, sans justification.
- Chaque constat est reproduitCe qui ne peut pas être reproduit passe en observation, il n’entre pas dans la liste des vulnérabilités.
- Vérification des correctifs incluseJusqu’à trois mois après le rapport, avec une attestation de correction.
- Un exemple de rapport à lireLa structure réelle d’un rapport, sur un exemple entièrement fictif.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez faire tester, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Cette prestation se chiffre sur devis : le prix se fixe pour votre périmètre, après le cadrage.
Pentest mobile : ce qu’on nous demande
Faut-il tester l’application iOS et l’application Android séparément ?
Oui, parce que les deux plateformes n’exposent pas les mêmes surfaces. Android offre des composants exportés et des intents, iOS des schémas d’URL et un trousseau de clés avec ses propres règles d’accès. Le code partagé (React Native, Flutter) est examiné une fois, mais ce qui touche la plateforme est vérifié sur chacune. Les API et le back-end, communs aux deux, ne sont testés qu’une fois, ce qui limite le coût.
Que devons-nous fournir pour un test d’intrusion mobile ?
Un build de test installable (fichier APK ou version de test pour iOS), si possible sans protections anti-analyse activées pour gagner du temps, des comptes de test pour chaque rôle, la documentation des API et un environnement de préproduction. Un accès en lecture au code accélère la mission mais n’est pas obligatoire. Nous demandons aussi la version de production, pour vérifier que les protections attendues y sont bien présentes.
Quel niveau de résistance à la rétro-ingénierie faut-il viser ?
Il dépend de ce que l’application protège. Une application bancaire, de paiement ou de santé a de bonnes raisons de détecter l’appareil modifié et de protéger sa logique. Une application de consultation de contenu public en a peu. Le référentiel MASVS traite ce sujet à part, dans le groupe résistance, et le décrit comme un renfort et non comme un substitut aux contrôles côté serveur. Nous fixons le niveau avec vous au cadrage, en fonction de l’impact d’une copie ou d’une altération.
Un test d’intrusion mobile couvre-t-il aussi le serveur de l’application ?
Il couvre les API que l’application appelle, car c’est le seul moyen de vérifier que les contrôles tiennent quand l’interface est contournée. Il ne couvre pas le reste de votre infrastructure ni un back-office web distinct, qui relèvent d’un test d’intrusion web ou d’un audit d’infrastructure. Le périmètre exact est écrit dans la lettre de mission.
Pour comprendre avant de décider
- ArticleTest d’intrusion d’une application mobile : méthode, périmètre et livrablesCe que couvre un test d’intrusion d’application iOS ou Android, comment le référentiel MASVS structure la mission et ce qu’il faut préparer avant de la commander.
- ArticleOWASP Top 10 : les dix risques expliqués pour décideurs et développeursLes dix catégories de risques de l’OWASP Top 10:2025 expliquées simplement : ce que chacune recouvre, comment un test d’intrusion la vérifie et ce que le classement ne dit pas.
Quelles prestations s’y associent ?
Pentest API
Les API portent les données et moins de garde-fous que les interfaces.
2 à 10 joursdès 1 290 €
Audit de code
Retrouver la ligne de code responsable et la raison pour laquelle elle a été écrite.
3 à 15 jours selon le volume de codedès 1 900 €
Pentest IoT et embarqué
Un objet livré à des milliers de clients se teste comme un objet entre les mains d’un attaquant.
5 à 15 jours selon la complexité de l’objetsur devis
Réponse à toute demande sous 24 h ouvrées
Faire tester ce périmètre
Trente minutes de cadrage suffisent à savoir si « Pentest mobile » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Autorisation écrite obligatoire
- Accord de confidentialité systématique
- Vérification des correctifs incluse