Confiance
Ce qui est vérifiable, et ce que nous ne promettons pas
Beaucoup de promesses de cybersécurité ne se contrôlent pas. Cette page rassemble ce qu’un client peut vérifier, et les limites que nous écrivons avant la signature plutôt qu’après.
Réponse courte
Comment choisir un prestataire de sécurité ?
Les arguments commerciaux ne départagent pas deux cabinets : ils écrivent tous la même chose. Trois questions, en revanche, trient efficacement. Demandez ce qui est exclu du périmètre et pourquoi. Demandez si la passe de vérification des correctifs est comprise ou facturée. Demandez ce qui arrive à un constat qui n’a pas pu être reproduit. Un prestataire qui répond clairement à ces trois questions a déjà prouvé plus qu’une plaquette entière.
Quatre limites écrites avant la signature
Si un prestataire vous annonce le contraire de l’une de ces quatre lignes, vous venez d’apprendre quelque chose d’utile sur lui.
Un test d’intrusion ne prouve pas l’absence de vulnérabilité
Il montre ce qui a été trouvé dans un périmètre donné, en un temps donné, avec des compétences données. C’est une mesure et non un certificat d’invulnérabilité, ce qu’aucun prestataire sérieux ne contestera.
L’automatisation couvre la largeur, pas la profondeur
Notre plateforme accélère la reconnaissance et la corrélation. Les vulnérabilités les plus coûteuses (contrôle d’accès, logique métier, chaînage) restent trouvées par un humain. Nous ne vendons pas un scan sous le nom de test d’intrusion.
La conformité n’est pas la sécurité
Une organisation peut être conforme et vulnérable, ou solide et non conforme. Nous traitons les deux, sans faire croire que l’un règle l’autre.
Nous refusons les missions mal posées
Une mission red team sur une infrastructure jamais auditée, ou un test d’intrusion sans comptes de test sur une application complexe, produit un rapport décevant. Nous le disons au cadrage, et proposons autre chose.
Ce que la machine trouve, et ce qu’elle ne trouvera pas
Notre argument commercial est que nous industrialisons la largeur. Sa contrepartie honnête est ce tableau : 5 lignes sur 10 sont hors de portée d’un outil seul, et c’est là que l’analyste passe le plus de temps.
| Type de vulnérabilité | Plateforme | Analyste |
|---|---|---|
| Versions obsolètes et correctifs manquantsDétection fiable et répétable par outil. | couvert | partiellement couvert |
| Configurations par défaut et en-têtes manquants | couvert | partiellement couvert |
| Injections détectables par motif | couvert | couvert |
| Énumération de la surface exposéeC’est là que l’automatisation apporte le plus. | couvert | partiellement couvert |
| Contrôle d’accès entre deux identités réellesRien dans une réponse HTTP n’indique qu’un objet appartient à quelqu’un d’autre. | non couvert | couvert |
| Abus de logique métierCumuler deux remises, sauter une validation, rejouer un remboursement. | non couvert | couvert |
| Chaînage de défauts mineurs en impact majeur | non couvert | couvert |
| Cloisonnement entre locataires d’une plateforme | non couvert | couvert |
| Reproduction et preuve d’un constat | partiellement couvert | couvert |
| Correctif au niveau de la cause | non couvert | couvert |
Quatre choses que nous ne facturons pas en supplément
Ces quatre postes sont compris dans le prix annoncé, jamais proposés en option. Les inclure est un choix, et il est vérifiable : il est écrit au contrat.
Rapport technique et synthèse de direction
Les deux documents, livrés ensemble. Facturer la synthèse de direction en option n’a aucune justification technique.
Restitution orale aux équipes
Une session de questions-réponses avec vos développeurs et vos ops. C’est souvent la partie la plus utile de la mission.
Passe de vérification des correctifs
Dans les trois mois suivant la remise du rapport, sans facturation supplémentaire, avec attestation à la clé.
Journalisation de nos propres actions
Chaque requête émise est journalisée et rattachée au périmètre autorisé. Vous pouvez demander ce journal.
Le cadre dans lequel nous travaillons
Ces règles figurent au contrat de mission. Elles ne sont pas négociables à la baisse.
- 01
Autorisation écrite obligatoire
Aucune action technique avant une autorisation signée par une personne habilitée, sur un périmètre explicite et daté. Pour un actif hébergé chez un tiers, l’accord de ce tiers est requis en plus.
- 02
Hors périmètre, aucune requête
Ce qui n’est pas explicitement dans le périmètre n’est jamais sondé. Une découverte hors périmètre est signalée dans le rapport, pas testée.
- 03
Aucun test de déni de service
Les tests de saturation, de disponibilité et de surcharge sont exclus par défaut. Ils ne peuvent être menés que sur demande explicite, en environnement dédié.
- 04
Aucune action destructive
Pas de suppression, pas de modification massive de données, pas d’envoi d’e-mails aux utilisateurs réels. Toute action irréversible nécessite votre accord écrit préalable.
- 05
Pas d’exfiltration de données réelles
La preuve d’un accès indu se fait sur un échantillon minimal, ou sur des données de test marquées. Nous ne constituons jamais de copie de vos bases.
- 06
Arrêt immédiat sur demande
Un contact désigné de votre côté peut interrompre la mission à tout moment, par un seul message, sans justification.
- 07
Confidentialité et destruction des données
Accord de confidentialité systématique. Les éléments collectés sont chiffrés, conservés le temps convenu, puis détruits. Le délai figure dans la convention.
- 08
Pas de contournement de protection tierce
Les protections anti-robot, les CAPTCHA et les pare-feux applicatifs de vos prestataires ne sont pas contournés sans accord écrit du prestataire concerné.
Ce que vous pouvez contrôler sans nous faire confiance
Chaque ligne de ce tableau est consultable par vous-même, aujourd’hui, sans échange préalable.
| Les prix plancher | Publiés sur la page des tarifs, avec le périmètre que chacun couvre et les facteurs qui font varier le devis. |
|---|---|
| La structure du livrable | Détaillée sur la page d’exemple de rapport, fiche de vulnérabilité complète comprise. |
| La politique de divulgationUn cabinet qui demande à ses clients d’accueillir les signalements doit en accueillir aussi. | Publiée sur la page de divulgation responsable et déclarée dans security.txt au format RFC 9116. |
| Les délais annoncésTestable immédiatement : écrivez-nous. | Réponse à toute demande sous 24 h ouvrées |
| Le traitement de vos données | Décrit sur la page de confidentialité. Aucun traqueur, aucun service tiers, aucune bannière de consentement : tout cela est vérifiable dans l’onglet réseau de votre navigateur. |
Celles qui mettent mal à l’aise
Pouvez-vous nous donner des références clients ?
Sur demande et après accord écrit du client concerné, oui. Nous ne publions aucun nom sur ce site : un client dont on sait qu’il a fait tester telle application à telle date donne une information utile à un attaquant, et ce n’est pas à nous d’en décider à sa place. Les cabinets qui affichent des logos ont obtenu cet accord, ce qui est légitime. Nous préférons simplement demander au moment où la question se pose.
Êtes-vous certifiés ?
Nous appliquons des référentiels (OWASP ASVS, PTES, NIST SP 800-115, les guides d’hygiène de l’ANSSI) et nous le disons en ces termes : « référentiels appliqués ». Appliquer un référentiel n’est pas en être certifié, et confondre les deux dans une plaquette est une pratique courante que nous refusons. Si une certification vous est imposée par un appel d’offres, dites-le au cadrage : nous vous dirons franchement si nous y répondons ou non.
Que se passe-t-il si vous causez un incident pendant le test ?
Le contrat prévoit l’arrêt immédiat, un canal de contact direct ouvert pendant toute la mission et la journalisation de chaque requête émise, ce qui permet de reconstituer ce qui a été fait et quand. Les actions destructives sont exclues par défaut du périmètre autorisé. Le détail des responsabilités et de la couverture assurantielle figure au contrat de mission, pas sur une page web.
Pourquoi publier vos limites plutôt que vos arguments ?
Parce que les arguments ne départagent pas deux prestataires : tout le monde écrit la même chose. Les limites, si. Un prestataire qui vous annonce qu’un test d’intrusion prouvera l’absence de vulnérabilité, ou qu’une automatisation remplace un analyste, vous apprend quelque chose d’utile sur lui. Nous préférons que ce tri se fasse avant la signature.
Pour aller plus loin
- CabinetQui est ReconmindLe cabinet, sa façon de travailler et ce qu’il refuse de faire.
- OutilsLes outils de décisionÉvaluer sa maturité NIS 2 sans laisser de coordonnées.
- MéthodeLa méthode en 6 étapesDu cadrage à la vérification des correctifs.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début