Pentest d'application web et d'API

Une application web est exposée à tout Internet, en permanence. Je l'évalue du point de vue d'un utilisateur malveillant, avec ou sans compte, pour vérifier qu'aucun client ne peut accéder aux données d'un autre et que vos fonctions sensibles sont bien protégées.

Ce que j’évalue

Authentification: Connexion, réinitialisation de mot de passe, MFA, SSO.
Droits d’accès: Cloisonnement entre utilisateurs, entre clients et entre rôles.
Logique métier: Paiements, quotas, workflows de validation : ce que les scanners ne comprennent pas.
Traitement des données: Validation des entrées, gestion des fichiers, exposition d’informations.
API: REST et GraphQL, endpoints non documentés, limitation de débit.
Configuration: En-têtes de sécurité, composants à jour, gestion des secrets.

Comment je travaille

Boîte grise par défaut : vous me fournissez des comptes de test pour chaque rôle. C’est le meilleur rapport entre profondeur et budget.
Méthodologie OWASP Web Security Testing Guide (WSTG), avec une large part de tests manuels.
Tests sur préproduction si possible, en production sinon, avec des règles convenues par écrit à l’avance.

Le détail de la méthode et du livrable

Ce que vous recevez

Un rapport PDF : synthèse pour la direction, puis une fiche par vulnérabilité (preuve, score CVSS, impact, correction).
Une réunion de restitution avec vos équipes techniques.
Un contre-audit des corrections, proposé dans le devis.

FAQ

Questions fréquentes

Faut-il tester en production ou en préproduction ?

La préproduction est préférable si elle est identique à la production : les tests ne touchent pas vos données réelles. En production, on convient ensemble des actions exclues avant de commencer.

Testez-vous les applications mobiles ?

J’évalue l’API utilisée par l’application mobile, qui concentre l’essentiel du risque. Si une analyse approfondie de l’application elle-même est nécessaire, je vous le dis au cadrage.

Un scanner automatique ne suffit pas ?

Un scanner repère les problèmes génériques et connus. Il ne comprend pas votre métier, par exemple le fait qu’un client ne doit jamais voir les factures d’un autre. Ce type de faille est souvent le plus grave, et il se trouve à la main.

Une autre question ? Écrivez-moi