Test d’intrusion d’application web (pentest web)
Savoir ce qu’un attaquant obtiendrait sur votre application.
Réponse courte
Pentest web : de quoi s’agit-il, pour qui, à quel prix ?
Test d’intrusion manuel et outillé sur une application web, en boîte grise ou boîte noire. Public concerné : éditeurs SaaS avant un audit client ou une levée de fonds. Durée indicative : 2 à 15 jours selon le périmètre. Prix d’entrée : à partir de 1 490 € HT. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
Un test d’intrusion web n’est pas un scan. Un scanner trouve les défauts déjà catalogués : versions obsolètes, en-têtes absents, injections évidentes. Il ne comprend pas votre logique métier, ne sait pas qu’un utilisateur du plan gratuit ne devrait jamais lire la facture d’un autre tenant, et ne pense pas à enchaîner trois défauts bénins pour en faire une prise de contrôle.
La mission combine donc les deux : une couche automatisée qui couvre la largeur (surface, endpoints, paramètres, vulnérabilités connues) et un travail humain sur la profondeur : contrôle d’accès horizontal et vertical, logique métier, chaînage, abus de fonctionnalités légitimes.
Tout ce qui est remonté a été reproduit. Un rapport Reconmind ne contient pas de « potentiellement vulnérable » : soit la vulnérabilité est démontrée avec sa requête, sa réponse et son impact, soit elle sort du rapport et passe en observation.
En résumé
- Durée indicative
- 2 à 15 jours selon le périmètre
- Prix
- à partir de 1 490 € HTà partir de, pour une application à périmètre défini
- Référentiels appliqués
- OWASP ASVSOWASP Top 10OWASP WSTGPTESNIST SP 800-115
Mission conduite sous autorisation écrite, avec accord de confidentialité et clause d’arrêt immédiat.
Réponse à toute demande sous 24 h ouvrées.
Pentest web : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Authentification et sessions
Solidité des parcours de connexion, réinitialisation de mot de passe, MFA, gestion et invalidation des jetons, cloisonnement des sessions.
Contrôle d’accès
IDOR / BOLA, élévation horizontale et verticale, cloisonnement entre comptes et entre tenants, exposition d’endpoints d’administration.
Logique métier
Détournement des parcours légitimes : prix et remises, quotas, workflows de validation, états incohérents, conditions de course.
Injections et traitement des entrées
SQL / NoSQL, injection de templates et de commandes, XSS stocké et réfléchi, désérialisation, traversée de chemin, envoi de fichiers.
Exposition et configuration
Secrets dans les bundles front, endpoints de débogage, en-têtes et politiques (CSP, CORS), fuites par messages d’erreur, sauvegardes accessibles.
Dépendances côté application
Composants tiers vulnérables atteignables depuis le périmètre testé, priorisés par exploitabilité et non par score brut.
Pentest web : que livre la mission ?
- Rapport technique détaillé, une fiche par vulnérabilité (preuve, impact, correctif)
- Synthèse pour la direction, lisible sans bagage technique
- Classement par exploitabilité, en plus du score CVSS
- Preuves rejouables : requêtes, réponses, captures, scripts de reproduction
- Restitution orale avec les équipes de développement
- Une passe de vérification des correctifs incluse
Qu’est-ce que cela change pour vous ?
- Une liste finie de choses à corriger, ordonnée par ce qui vous expose le plus
- Des preuves opposables à un client, un assureur ou un comité de sécurité
- Des équipes de développement qui comprennent la cause autant que le symptôme
Vérification des correctifs incluse
Une passe de contrôle rejoue les preuves d’origine jusqu’à trois mois après le rapport, et produit une attestation de correction.
Pentest web : pour qui est-ce utile ?
- Éditeurs SaaS avant un audit client ou une levée de fonds
- Plateformes multi-tenant manipulant des données sensibles
- Sites marchands avec paiement, comptes et espace client
- Toute application qui devient critique pour le chiffre d’affaires
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Pentest web : combien de temps dure la mission ?
Durée indicative : 2 à 15 jours selon le périmètre. Les 6 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Définir ce qui est testé, ce qui est exclu, et ce qu’une réussite signifierait pour vous.
- 02
Autorisation et règles d’engagement
Aucune requête n’est émise avant une autorisation écrite nominative sur un périmètre explicite.
- 03
Reconnaissance et cartographie
Établir la surface réelle, presque toujours plus large que l’inventaire fourni.
- 04
Tests et exploitation
Vérifier les vulnérabilités connues, puis chercher ce qu’aucun outil ne trouve.
- 05
Rapport et restitution
Deux lectures : une synthèse de décision, un rapport technique actionnable.
- 06
Vérification des correctifs
Vérifier que ce qui a été corrigé l’est bien, sans régression.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Autorisation écrite avant toute requêteNominative, sur un périmètre et une période écrits. Hors périmètre, rien n’est sondé.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Arrêt immédiat sur simple demandeUn contact que vous désignez peut interrompre la mission par un seul message, sans justification.
- Chaque constat est reproduitCe qui ne peut pas être reproduit passe en observation, il n’entre pas dans la liste des vulnérabilités.
- Vérification des correctifs incluseJusqu’à trois mois après le rapport, avec une attestation de correction.
- Un exemple de rapport à lireLa structure réelle d’un rapport, sur un exemple entièrement fictif.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez faire tester, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Le prix plancher affiché (1 490 € HT) est un point de départ : le devis fixe le prix pour votre périmètre.
Pentest web : ce qu’on nous demande
Faut-il nous donner des comptes et du code ?
Ce n’est pas obligatoire, mais c’est fortement recommandé. En boîte grise, avec des comptes de test sur chaque rôle et idéalement un accès en lecture au code, le temps passé va à chercher des vulnérabilités plutôt qu’à reconstituer le fonctionnement de l’application. À budget égal, la couverture est nettement supérieure.
Est-ce que cela peut casser la production ?
Les tests se déroulent par défaut sur un environnement de préproduction représentatif. Si seule la production existe, les règles d’engagement fixent par écrit ce qui est interdit : pas de test de déni de service, pas de suppression massive, pas d’envoi d’e-mails aux vrais utilisateurs. Les actions destructives ou irréversibles restent soumises à votre accord explicite.
Que se passe-t-il si vous trouvez une faille critique en cours de mission ?
Elle vous est signalée immédiatement, sans attendre le rapport, avec les éléments nécessaires pour arbitrer : ce qui est exposé, ce qu’un attaquant peut en faire, et la mesure d’atténuation la plus rapide à appliquer.
Votre test couvre-t-il l’OWASP Top 10 ?
Oui, et bien au-delà. Le Top 10 est une grille de sensibilisation qui décrit dix familles de risques : la mission s’appuie sur des guides de test plus détaillés, comme le Web Security Testing Guide, qui couvrent aussi la logique métier et la gestion de session, que le classement décrit peu. Les constats du rapport sont rattachés aux catégories du Top 10 pour que vos équipes retrouvent la famille de défaut, mais le travail ne se limite pas à cocher dix cases.
Que contient le rapport remis à la fin d’un test d’intrusion ?
Une synthèse de direction, le périmètre et la méthode, puis un constat par fiche avec la description, la requête et la réponse qui prouvent le défaut, l’impact démontré, une gravité justifiée et une recommandation précise. Le rapport indique aussi ce qui n’a pas été testé et les conditions du contre-test des correctifs. Un développeur qui n’a pas assisté à la mission doit pouvoir reproduire chaque défaut seul.
Faut-il un prestataire qualifié PASSI pour un test d’intrusion ?
Seulement si une règle ou un donneur d’ordre vous l’impose, par exemple dans certains cadres réglementaires sectoriels ou un appel d’offres. Reconmind applique des référentiels (OWASP, PTES, NIST SP 800-115) et ne revendique pas de qualification PASSI. Si votre contexte l’exige, dites-le au cadrage : nous vous répondons franchement, avant tout devis, plutôt que de vous laisser découvrir l’écart au moment de la recette.
Pour comprendre avant de décider
- ArticleAutorisation de test d’intrusion : ce que doit contenir la lettrePérimètre, fenêtres, adresses IP sources, contacts, clause d’arrêt, données, signataires habilités : le contenu d’une autorisation écrite avant un test d’intrusion, et son cadre légal.
- ArticleComparer des devis de test d’intrusion : la grille en neuf pointsPérimètre, jours-homme, boîte noire ou grise, rôles testés, contre-audit, livrables, qualification, cadre et prix : la grille qui rend deux devis comparables autrement que par leur total.
- ArticleBug bounty ou politique de divulgation : par où commencer ?Une politique de divulgation de vulnérabilités avant un programme de primes : ce que chacun apporte, l’ordre à suivre, le contenu du texte et le traitement d’un signalement.
- ArticleLire un rapport de scan de vulnérabilités : ce qu’il prouve et ce qu’il rateUn rapport de scan est une liste de candidats, pas de faits : faux positifs, gravité hors contexte, zones non atteintes. Comment le lire et le vérifier.
Quelles prestations s’y associent ?
Pentest API
Les API portent les données et moins de garde-fous que les interfaces.
2 à 10 joursdès 1 290 €
Audit de code
Retrouver la ligne de code responsable et la raison pour laquelle elle a été écrite.
3 à 15 jours selon le volume de codedès 1 900 €
Audit cloud
Dans le cloud, la plupart des incidents partent d’une mauvaise configuration.
2 à 12 joursdès 1 290 €
Réponse à toute demande sous 24 h ouvrées
Faire tester ce périmètre
Trente minutes de cadrage suffisent à savoir si « Pentest web » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Autorisation écrite obligatoire
- Accord de confidentialité systématique
- Vérification des correctifs incluse