Cabinets & équipes cyber
Un pentest applicatif à réaliser, un périmètre à compléter ou une restitution à préparer. Intégrons un consultant certifié à votre cadre de travail.
PNPT & HTB CWESWeb & APIÀ distance
Dans le portail d’une même entreprise, un salarié du service commercial peut ouvrir le fichier de paie réservé aux RH en changeant le numéro du document dans la requête. Être connecté ne lui donne pas ce droit.
Modifier l’identifiant du document dans une requête authentifiée, puis vérifier les droits sur la ressource retournée.
Le fichier RH est lisible avec un simple compte commercial.
Impact illustréConfidentialité : les noms et salaires des collègues deviennent accessibles à une personne qui n’est pas habilitée à les consulter.
GET /api/documents/204200 OK · fichier de paie divulguéVérifier côté serveur que le compte dispose du droit de lecture sur ce document précis. L’accès au portail et l’appartenance à la même entreprise ne suffisent pas.
GET /api/documents/204403 Forbidden · document RH protégéCes résultats illustrent le re-test attendu. Ils ne correspondent pas à des tests réalisés chez un client.
Le bouton d’export des comptes est masqué pour les utilisateurs standards. Pourtant, l’API exécute leur demande d’export, car elle ne vérifie pas le rôle du compte.
Appeler directement une fonction d’administration avec un compte standard, même lorsque son bouton est masqué.
L’interface masque l’action, mais le serveur livre quand même l’export.
Impact illustréConfidentialité : export de données de comptes depuis une fonction d’administration.
GET /api/admin/users/export200 OK · export accessibleCentraliser les autorisations côté serveur et exiger le droit d’export sur l’endpoint d’administration.
GET /api/admin/users/export403 Forbidden · rôle insuffisantLe périmètre du re-test réel dépend des accès fournis et des corrections disponibles. Les limites sont consignées dans le rapport.
Un article coûte 120 € au catalogue. Le navigateur envoie le montant de la commande et le serveur lui fait confiance : un acheteur peut le remplacer par 1 € et créer une commande à ce prix.
Modifier le montant envoyé par le navigateur pour vérifier si le serveur le reprend ou le recalcule depuis son catalogue.
Le montant modifié dans le navigateur devient le prix de la commande.
Impact illustréIntégrité commerciale : une commande est enregistrée avec un montant non autorisé. Cet exemple s’arrête avant tout paiement réel.
POST /api/orders
{ "productId": "AT-120", "quantity": 1, "unitPrice": 1 }201 Created · commande à 1 €Calculer le total côté serveur depuis le catalogue et les remises autorisées. Les montants transmis par le navigateur ne constituent jamais la référence du prix.
POST /api/orders
{ "productId": "AT-120", "quantity": 1, "unitPrice": 1 }201 Created · prix recalculé à 120 €Montants et article fictifs. Les règles de TVA, de remise et de paiement d’une application réelle demandent des cas de test adaptés.
Un cadre partagé
Applications, accès et profondeur des tests définis avec votre équipe.
Règles de partage des informations et autorisations établies avant la mission.
Format du rapport, preuves et conventions de restitution convenus ensemble.
Points de suivi et responsabilités pour les corrections et le re-test.
TCM Security · examen pratique
Un pentest réseau pratique, de la reconnaissance à l’exploitation d’un environnement Active Directory.
Présenter les preuves et expliquer les risques, avec un plan de correction compréhensible.
Hack The Box · examen pratique
Un examen pratique consacré à l’exploitation d’applications web, de services et d’API.
Relier un défaut technique à son impact applicatif et aux corrections attendues.
Ces certifications attestent de compétences évaluées en examen pratique. Le périmètre de votre mission reste défini selon votre besoin.
Questions / Réponses
03 points à éclaircir
Question 01 sur 03
Des audits et pentests web sur un périmètre applicatif défini. Nous vérifions ensemble la profondeur attendue, les accès fournis, les contraintes de calendrier et le format du livrable.
La proposition précise le périmètre, les responsabilités, les conditions de confidentialité et la restitution. Le fonctionnement avec votre équipe ou votre client est défini avant les tests.
Le format et les conventions du livrable se discutent au cadrage. L’objectif est un résultat exploitable par votre équipe, avec des constats reproductibles et des recommandations précises.
La prochaine étape
Décrivez le périmètre, les dates envisagées et le format de collaboration souhaité.
Autoriser PostHog à mesurer les pages et actions pour améliorer le site ? Des identifiants de navigateur et de session sont utilisés. Les champs du formulaire et les enregistrements de session sont exclus.
En savoir plus. Vous pouvez changer ce choix en bas de chaque page.
Votre navigateur demande de ne pas être suivi. PostHog reste désactivé.