Ressources
Guides de cybersécurité : ce qu’on explique habituellement en rendez-vous
Des réponses écrites une fois, utilisables sans nous appeler : prix réels, critères de choix, vulnérabilités courantes, préparation de mission.
Méthode · 8 min · 10 novembre 2026
Autorisation de test d’intrusion : ce que doit contenir la lettre
Périmètre, fenêtres, adresses IP sources, contacts, clause d’arrêt, données, signataires habilités : le contenu d’une autorisation écrite avant un test d’intrusion, et son cadre légal.
Réponse courte
Une autorisation de test d’intrusion est un écrit signé par une personne habilitée à engager l’organisation, qui délimite ce que le prestataire a le droit de faire. Elle indique le périmètre et ses exclusions, les fenêtres horaires, les adresses IP sources des tests, les contacts joignables, la clause d’arrêt immédiat, le traitement des données et les signataires. Sans elle, un accès à un système d’information peut être poursuivi sur le fondement de l’article 323-1 du code pénal. Faites relire le texte par un juriste avant de le signer.
Achat & budget
Comparer des devis de test d’intrusion : la grille en neuf points
Périmètre, jours-homme, boîte noire ou grise, rôles testés, contre-audit, livrables, qualification, cadre et prix : la grille qui rend deux devis comparables autrement que par leur total.
- Un devis se compare sur neuf lignes : périmètre, jours-homme, niveau d’information, rôles, contre-audit, livrables, qualification, cadre et prix.
- Le périmètre et le nombre de jours d’analyste expliquent l’essentiel des écarts de prix entre deux offres.
8 min
Méthode
Test d’intrusion d’une application mobile : méthode, périmètre et livrables
Ce que couvre un test d’intrusion d’application iOS ou Android, comment le référentiel MASVS structure la mission et ce qu’il faut préparer avant de la commander.
- Tout ce que contient une application mobile doit être considéré comme lisible, et tout contrôle uniquement côté client comme contournable.
- Le MASVS structure le test en huit familles ; le MASTG décrit comment vérifier chacune sur iOS et Android.
9 min
Vulnérabilités
Sécurité des applications d’IA générative : comprendre l’injection de prompt
Injection de prompt, fuite de données, agents trop permissifs : les risques d’une application fondée sur un modèle de langage, et comment en limiter les effets.
- L’injection de prompt exploite l’absence de frontière entre instruction et donnée dans un modèle de langage ; elle est directe ou indirecte.
- Aucune parade connue ne supprime le risque : on le limite par les droits accordés, le cloisonnement des données et la validation humaine.
10 min
Méthode
Bug bounty ou politique de divulgation : par où commencer ?
Une politique de divulgation de vulnérabilités avant un programme de primes : ce que chacun apporte, l’ordre à suivre, le contenu du texte et le traitement d’un signalement.
- Une politique de divulgation se met en place vite et sert presque toutes les organisations ; un bug bounty vient après, si les moyens de traiter les rapports existent.
- Le fichier security.txt (RFC 9116) donne aux chercheurs l’adresse et la politique à consulter, au bon emplacement.
8 min
Vulnérabilités
Gestion des vulnérabilités : comment prioriser les correctifs (CVSS, EPSS, KEV)
Un parc compte des milliers de vulnérabilités et une équipe ne peut pas toutes les corriger. Comment choisir par où commencer avec le CVSS, l’EPSS et le catalogue KEV.
- Le CVSS mesure la gravité, pas le risque : il ne suffit pas à ordonner les correctifs.
- Une entrée du catalogue KEV sur un système exposé est le signal d’urgence le plus fiable.
8 min
Méthode
Sauvegarde et rançongiciel : la règle 3-2-1 suffit-elle ?
La règle 3-2-1 reste une base, mais les rançongiciels visent les sauvegardes. Copie immuable, comptes séparés et test de restauration : ce qu’il faut en plus.
- La règle 3-2-1 reste une base, à compléter par une copie immuable ou hors ligne.
- Les sauvegardes doivent être inaccessibles depuis les comptes d’administration de la production.
8 min
Achat & budget
RSSI externalisé : missions, coût et limites du temps partagé
Ce que fait un RSSI à temps partagé, ce qui fait varier son coût, quand il vaut mieux embaucher, et les limites à écrire dans le contrat avant de signer.
- Le RSSI à temps partagé tient la gouvernance, pas l’administration technique.
- Son coût dépend des jours par mois, du périmètre et de l’astreinte : exigez ces lignes au contrat.
8 min
Conformité
Répondre à un questionnaire de sécurité client : méthode et pièges
Pourquoi vos clients vous envoient des questionnaires de sécurité, comment bâtir une base de réponses vérifiées, que répondre quand une mesure manque et quoi transmettre.
- Un questionnaire de sécurité est la forme que prend l’obligation de vos clients de maîtriser leurs fournisseurs.
- Une base de réponses vérifiées, avec preuve et responsable, transforme des semaines de travail en heures.
8 min
Méthode
Lire un rapport de scan de vulnérabilités : ce qu’il prouve et ce qu’il rate
Un rapport de scan est une liste de candidats, pas de faits : faux positifs, gravité hors contexte, zones non atteintes. Comment le lire et le vérifier.
- Un rapport de scan est une liste de candidats à vérifier, pas une liste de faits.
- Le scan couvre le connu, largement et à bas coût ; il ne comprend pas votre métier.
7 min
Achat & budget
Combien coûte un test d’intrusion, et ce qui fait varier le prix
Ce qui fait varier le prix d’un test d’intrusion (périmètre, rôles, environnement, niveau de preuve) et les prix d’entrée publiés avec ce qu’ils couvrent.
- Le prix d’un test d’intrusion suit le nombre de jours d’analyste : périmètre, rôles, environnement et niveau de preuve le fixent.
- Nos prix d’entrée sont publiés avec le périmètre exact qu’ils couvrent ; au-delà, le devis se fixe au cadrage.
8 min
Conformité
NIS 2 : qui est concerné, et par où commencer sans tout bureaucratiser
Les critères d’assujettissement, les cinq chantiers qui bloquent souvent, et l’ordre dans lequel les traiter pour que la conformité produise de la sécurité réelle.
- Même non assujetti, vous recevrez les exigences par vos clients assujettis.
- Gouvernance, notification d’incident et chaîne de fournisseurs concentrent l’effort.
9 min
Vulnérabilités
IDOR et BOLA : une faille coûteuse pour les plateformes SaaS
Pourquoi un simple identifiant modifiable figure en tête de l’OWASP API Security Top 10, pourquoi aucun scanner ne la trouve, et comment la supprimer par conception.
- Un IDOR n’est pas un bug isolé mais une hypothèse d’architecture : l’identifiant reçu est supposé légitime.
- Aucun scanner ne le détecte de façon fiable : la réponse est techniquement valide, seul le métier la rend illégitime.
8 min
Méthode
Préparer un test d’intrusion : la liste de contrôle avant la mission
Ce qu’il faut réunir avant le premier jour de test pour ne pas perdre un tiers du budget en mise en place, côté technique, organisationnel et juridique.
- Deux comptes par rôle dans deux organisations distinctes : c’est la préparation la plus rentable.
- L’accord des hébergeurs tiers est un point souvent oublié, qui retarde les démarrages.
6 min
Vulnérabilités
Rançongiciel : les chemins les plus courts dans un Active Directory
Les quelques configurations qui, dans de nombreux audits internes, mènent d’un poste utilisateur ordinaire à l’administration du domaine, et comment les fermer.
- Le rançongiciel progresse grâce à des configurations héritées bien plus qu’à des failles inédites.
- Sortir les sauvegardes du domaine est le correctif au meilleur rapport effet / effort.
9 min
Achat & budget
Audit de sécurité informatique : déroulé, livrables et prix
Ce qu’est un audit de sécurité informatique, les cinq étapes d’une mission, les livrables à exiger et ce qui fait varier le prix, avec les montants d’entrée de chaque type d’audit.
- « Audit de sécurité » désigne une famille de prestations : précisez la question avant de demander un prix.
- Un bon audit se reconnaît à son cadrage écrit, à ses preuves reproductibles et à son contre-test des correctifs.
8 min
Vulnérabilités
Audit Active Directory : ce qui est vérifié, et pourquoi c’est décisif
Pourquoi l’annuaire est la cible centrale d’un rançongiciel, les sept points qu’un audit Active Directory examine, ce qu’il livre et le périmètre couvert par le prix d’entrée.
- Un audit Active Directory mesure la distance entre un compte ordinaire et l’administration du domaine.
- Le danger vient de chemins faits de configurations héritées, rarement d’une faille logicielle.
8 min
Vulnérabilités
Sécurité Microsoft 365 et Entra ID : les points de contrôle prioritaires
Les configurations Microsoft 365 et Entra ID qui font la différence : authentification multifacteur, accès conditionnel, rôles d’administration, applications et messagerie, et comment les faire auditer.
- Dans Microsoft 365, l’identité est le périmètre : un compte compromis suffit à ouvrir messagerie, fichiers et applications.
- Multifacteur, accès conditionnel, rôles limités, contrôle des applications et surveillance des règles de messagerie font l’essentiel du résultat.
8 min
Méthode
Que faire en cas de cyberattaque ou de rançongiciel : la première heure
Les gestes à faire et à ne pas faire dans la première heure d’une cyberattaque ou d’un rançongiciel : isoler, préserver, alerter, notifier, et à quel moment faire appel à un prestataire.
- Isolez du réseau sans éteindre : on arrête la propagation et on garde les traces.
- Ne restaurez, ne reformatez et ne payez pas avant d’avoir compris le point d’entrée.
8 min
Méthode
Simulation de phishing : mode d’emploi d’une campagne utile
Comment mener une campagne de simulation de phishing qui mesure sans piéger : objectifs, scénarios, indicateurs utiles, cadre juridique à vérifier et erreurs qui détruisent la confiance.
- Le taux de signalement est le meilleur indicateur ; le taux de clic seul induit en erreur.
- Les résultats sont agrégés, jamais nominatifs, et aucun clic n’est sanctionné.
7 min
Conformité
DORA : ce que le règlement impose en tests de sécurité et de résilience
Le règlement DORA exige des tests de résilience numérique réguliers, dont des tests d’intrusion fondés sur la menace. Ce que disent les articles 24 à 27, qui est concerné et comment s’y préparer.
- DORA est un règlement européen applicable depuis le 17 janvier 2025, sans transposition nationale.
- Il demande un programme de tests combinant plusieurs types de tests, menés par des parties indépendantes, au moins annuellement sur les systèmes critiques.
8 min
Vulnérabilités
OWASP Top 10 : les dix risques expliqués pour décideurs et développeurs
Les dix catégories de risques de l’OWASP Top 10:2025 expliquées simplement : ce que chacune recouvre, comment un test d’intrusion la vérifie et ce que le classement ne dit pas.
- L’OWASP Top 10 est un document de sensibilisation, pas une norme de conformité ni une liste exhaustive.
- Le contrôle d’accès défaillant reste en tête de l’édition 2025 ; il se vérifie avec un humain, pas avec un scanner.
10 min
Méthode
Que doit contenir un rapport de test d’intrusion ?
Les éléments qu’un rapport de test d’intrusion doit contenir pour être utile : synthèse, périmètre, preuves reproductibles, gravité justifiée, recommandations et limites. Grille de vérification.
- Le rapport est le pont entre la découverte d’un défaut et sa correction : une fiche non reproductible ne sera pas corrigée.
- Chaque constat porte une preuve, un impact démontré, une gravité justifiée et une recommandation précise.
7 min
Achat & budget
Choisir un prestataire de test d’intrusion : PASSI et les bonnes questions
PASSI, certifications, références, assurance, méthode : les questions à poser à un prestataire de test d’intrusion avant de signer, et ce que chaque réponse doit vous dire.
- PASSI est une qualification de l’ANSSI : elle est imposée dans certains cas, et n’assure pas à elle seule l’adéquation d’une mission.
- Le test le plus rapide : demander un extrait de rapport anonymisé ou un exemple fictif et regarder si les constats portent preuve et impact.
8 min
Réponse à toute demande sous 24 h ouvrées
Une question qui n’est pas traitée ici ?
Le premier échange est gratuit et sans engagement. Si la réponse tient en dix minutes, elle tiendra en dix minutes.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début