Cybersécurité · 3 à 5 jours ouvrés selon périmètre

Votre site, ses accès, ses points à corriger.

Faire le point sur un site ou un périmètre web défini : configuration, accès et faiblesses courantes. Vous repartez avec des constats expliqués et des corrections à prioriser.

Définir mon périmètre Voir un exemple de rapport

Boris · PNPT · HTB CWES · Restitution des résultats

Périmètre convenu

Des composants.
Des points à examiner.

Exemple de périmètre de vérification
Vérification	Site	API	Rôles
Configuration	Dans cet exemple de périmètre	Dans cet exemple de périmètre	Hors de cet exemple de périmètre
Accès	Hors de cet exemple de périmètre	Dans cet exemple de périmètre	Dans cet exemple de périmètre
Exposition	Dans cet exemple de périmètre	Dans cet exemple de périmètre	Hors de cet exemple de périmètre

Vérification prévue, sans résultat d’audit présenté

Une grille de lecture relie les composants aux vérifications du périmètre.

Démonstration fictive

Concrètement

Les questions auxquelles répondre.

Reprendre un site existant

Faire le point après une livraison ou un changement de prestataire. Identifier les accès à reprendre, les paramètres à revoir et les points qui demandent une intervention.

Préparer une ouverture au public

Vérifier les protections et les accès du périmètre convenu avant la mise en ligne. Les points sensibles peuvent conduire à recommander un pentest complémentaire.

Donner un ordre de correction au prestataire

Transformer une inquiétude générale en constats précis, compréhensibles par l’hébergeur ou l’équipe qui maintient le site. Les limites de contrôle restent indiquées.

Ce que vous recevez

Des constats exploitables.

Le périmètre et les livrables sont validés ensemble avant le démarrage.

Un périmètre connu
Vous savez quels éléments ont été examinés et dans quelles conditions. Un composant non vérifié n’est pas présenté comme sécurisé.
Des actions attribuables
Chaque constat décrit le problème observé, son impact et la correction proposée. Le rapport aide à préparer les échanges avec les responsables techniques.
Une suite proportionnée
Les priorités distinguent les corrections immédiates, les vérifications complémentaires et les sujets qui justifient un test plus approfondi.

Périmètre contrôlé et limites de l’intervention
Synthèse des points prioritaires pour la direction
Constats techniques avec preuves et recommandations
Restitution et conditions du re-test définies dans la proposition

Déroulement

Un cadre de travail explicite.

Vous échangez directement avec Boris, qui cadre les tests, les réalise et restitue les constats à votre équipe.

Voir mon approche et mes certifications ↗

Je définis avec vous les pages, domaines, accès et composants concernés. L’audit combine revue de configuration, contrôles ciblés et vérifications manuelles sur ce périmètre. Les constats sont reliés à leur impact possible et à une action de correction. Je distingue ce qui a été vérifié, ce qui ne l’a pas été et ce qui demande une investigation plus poussée. L’audit ne remplace pas un pentest approfondi de la logique métier.

Autorisation écrite, périmètre et règles d’engagement sont établis avant les tests. Un accord de confidentialité encadre la mission ; les modalités de restitution et de conservation des éléments sont fixées au cadrage.

Investissement : sur devis. Complexité, nombre de parcours et accès disponibles déterminent la charge de travail.

Voir un exemple de rapport ↗

Questions fréquentes

Le périmètre, au clair.

Questions / Réponses

05 points à éclaircir

Quelle différence entre cet audit et un pentest web ?

L’audit examine de manière ciblée les configurations, accès et protections d’un périmètre. Le pentest approfondit les scénarios d’attaque et la logique propre à l’application, avec des tentatives d’exploitation contrôlées autorisées. Le niveau de profondeur est fixé avant la mission.

Faut-il me donner un accès à l’administration ou au code ?

Cela dépend des contrôles attendus. Sans accès, l’audit couvre ce qui est observable depuis l’extérieur. Des accès limités à l’administration, à l’hébergement ou à la configuration peuvent élargir la revue. Les accès nécessaires et leurs modalités de retrait sont définis au cadrage.

Peut-on auditer le site en production ?

Le contexte, les horaires, les actions autorisées et les exclusions sont convenus avant l’intervention. Un environnement de test peut être préférable pour certains contrôles. Les précautions limitent les perturbations ; elles ne permettent pas de promettre une absence totale de risque.

Le rapport permet-il de demander des corrections à mon prestataire ?

Oui. Il contient des constats, leurs preuves et des recommandations classées par priorité, ainsi que les limites de la revue. La restitution sert à clarifier les points avec les interlocuteurs concernés. Les corrections restent à réaliser par la personne ou l’équipe qui en a la charge.

L’audit atteste-t-il que mon site ne présente plus aucun risque ?

Non. Il rend compte de vérifications sur un périmètre et à un moment donnés. Un re-test peut vérifier les corrections convenues ; ses conditions sont précisées dans la proposition. Ni l’audit ni le re-test ne constituent une certification ou une garantie d’absence de faille.

La prochaine étape

Parlons de votre application.

Précisons les accès à vérifier, les parcours sensibles et les résultats dont votre équipe a besoin.

Définir mon périmètre ↗Cadrage en 20 min