Pentest web & API · Audit de sécurité
Pentests web et API pour SaaS, PME et équipes produit. Vérifiez les failles exploitables et donnez à vos développeurs des corrections priorisées.
Boris / Votre interlocuteur, du cadrage au re-test
Rapport priorisé · Restitution
Re-test selon le périmètre convenu
Quand intervenir
Pas besoin d’avoir déjà défini tous les tests. Partons du changement ou de la demande qui vous amène.
Une application ou une nouvelle version arrive. Vérifiez les parcours sensibles avant de les ouvrir à vos utilisateurs.
De nouveaux rôles, invitations ou endpoints API peuvent modifier qui accède aux données et aux actions.
Un client ou un partenaire attend une évaluation documentée. Précisez les tests et le livrable dont il a besoin.
Un changement d’équipe ou de prestataire laisse des questions. Faites vérifier les accès et les fonctions à risque.
Deux façons d’avancer
Éprouver les accès et la logique de votre application. Vérifier les failles, mesurer leur impact et guider les correctifs.
Application · API · espace clientFaire le point sur un périmètre web défini. Repérer les faiblesses courantes et savoir quoi corriger en premier.
Site web · configuration · expositionLe rapport
Une faille documentée, des corrections à prioriser.
Des preuves et des étapes de reproduction pour vos développeurs. Une synthèse des impacts pour votre direction. Le re-test consigne ensuite le statut des corrections convenues.
Voir un exemple de rapport ↗Dans le portail d’une même entreprise, un salarié du service commercial peut ouvrir le fichier de paie réservé aux RH en changeant le numéro du document dans la requête. Être connecté ne lui donne pas ce droit.
Modifier l’identifiant du document dans une requête authentifiée, puis vérifier les droits sur la ressource retournée.
Le fichier RH est lisible avec un simple compte commercial.
Impact illustréConfidentialité : les noms et salaires des collègues deviennent accessibles à une personne qui n’est pas habilitée à les consulter.
GET /api/documents/204200 OK · fichier de paie divulguéVérifier côté serveur que le compte dispose du droit de lecture sur ce document précis. L’accès au portail et l’appartenance à la même entreprise ne suffisent pas.
GET /api/documents/204403 Forbidden · document RH protégéCes résultats illustrent le re-test attendu. Ils ne correspondent pas à des tests réalisés chez un client.
Le bouton d’export des comptes est masqué pour les utilisateurs standards. Pourtant, l’API exécute leur demande d’export, car elle ne vérifie pas le rôle du compte.
Appeler directement une fonction d’administration avec un compte standard, même lorsque son bouton est masqué.
L’interface masque l’action, mais le serveur livre quand même l’export.
Impact illustréConfidentialité : export de données de comptes depuis une fonction d’administration.
GET /api/admin/users/export200 OK · export accessibleCentraliser les autorisations côté serveur et exiger le droit d’export sur l’endpoint d’administration.
GET /api/admin/users/export403 Forbidden · rôle insuffisantLe périmètre du re-test réel dépend des accès fournis et des corrections disponibles. Les limites sont consignées dans le rapport.
Un article coûte 120 € au catalogue. Le navigateur envoie le montant de la commande et le serveur lui fait confiance : un acheteur peut le remplacer par 1 € et créer une commande à ce prix.
Modifier le montant envoyé par le navigateur pour vérifier si le serveur le reprend ou le recalcule depuis son catalogue.
Le montant modifié dans le navigateur devient le prix de la commande.
Impact illustréIntégrité commerciale : une commande est enregistrée avec un montant non autorisé. Cet exemple s’arrête avant tout paiement réel.
POST /api/orders
{ "productId": "AT-120", "quantity": 1, "unitPrice": 1 }201 Created · commande à 1 €Calculer le total côté serveur depuis le catalogue et les remises autorisées. Les montants transmis par le navigateur ne constituent jamais la référence du prix.
POST /api/orders
{ "productId": "AT-120", "quantity": 1, "unitPrice": 1 }201 Created · prix recalculé à 120 €Montants et article fictifs. Les règles de TVA, de remise et de paiement d’une application réelle demandent des cas de test adaptés.
La méthode
Définir le périmètre, les accès et les conditions d’intervention. Autorisation écrite avant les tests.
Examiner les points d’entrée et la logique métier. Confirmer les failles par des tests contrôlés.
Expliquer les impacts et les preuves. Livrer une synthèse et un plan de correction priorisé.
Re-tester les points corrigés selon les conditions de la mission. Documenter ce qui reste à traiter.
Vous êtes un cabinet cyber ? Un renfort indépendant pour vos missions, avec un cadre de collaboration défini.
Travailler ensemble ↗Votre interlocuteur
Vous échangez directement avec la personne qui réalise les tests. Les questions sur vos parcours, les preuves et les corrections sont suivies par le même consultant.
Voir mon approche et mes certifications ↗Les accès, les objectifs et les limites sont convenus ensemble.
Des preuves reliées à vos parcours et à leur impact.
Les développeurs peuvent corriger, la direction peut décider.
Avant de commencer
Questions / Réponses
04 points à éclaircir
Question 01 sur 04
Un audit examine un périmètre défini et ses faiblesses courantes. Un pentest va plus loin avec des tentatives d’exploitation contrôlées et des tests de logique métier. Le premier échange sert à choisir la profondeur adaptée à votre besoin.
Boris, consultant indépendant et titulaire des certifications PNPT et HTB CWES. Vous échangez directement avec la personne qui cadre les tests, les réalise et restitue les résultats.
Une synthèse lisible par la direction, les constats techniques avec leurs preuves et un plan de correction priorisé. Le périmètre du re-test et ses conditions sont précisés dans la proposition de mission.
Oui. Les missions web peuvent être menées à distance, selon les accès et le périmètre convenus. Une collaboration avec un cabinet fait l’objet d’un cadre spécifique : responsabilité, confidentialité, format des livrables et restitution.
La prochaine étape
En 20 minutes, précisons le périmètre, les accès nécessaires et la charge à prévoir. Vous pouvez aussi commencer par quelques lignes.
Autoriser PostHog à mesurer les pages et actions pour améliorer le site ? Des identifiants de navigateur et de session sont utilisés. Les champs du formulaire et les enregistrements de session sont exclus.
En savoir plus. Vous pouvez changer ce choix en bas de chaque page.
Votre navigateur demande de ne pas être suivi. PostHog reste désactivé.
