Audit de sécurité et test d'intrusion pour les plateformes SaaS, B2B comme B2C.
Accès aux exports d'une autre organisation
VRN-001 · Contrôle d'accès
Jeton de réinitialisation non invalidé
VRN-004 · Authentification
Clé de cache ignorant le tenant
VRN-009 · Multi-tenant
Le choix dépend de la question que vous vous posez.
L'examen complet, code en main.
Boîte blanche · 5 à 10 jours
Jusqu'où va un utilisateur mal intentionné ?
Boîte grise · 3 à 6 jours
Là où une ligne oubliée coûte cher.
async function getDocument(req) { const doc = await Document.find(req.id) return doc } Ligne 42 : la propriété du document n'est jamais vérifiée avant renvoi.
Accès au dépôt · 4 à 8 jours
De quoi répondre à vos prospects grands comptes.
Documentaire · 2 à 5 jours
Une mission ne s'arrête pas à la remise du rapport : nous rejouons chaque constat une fois corrigé, et c'est compris dans le prix.
Jour 0
Périmètre, exclusions et comptes validés avant la première requête.
Jours 1 à 6
Le cœur de la mission. Alerte immédiate si un constat critique sort.
Jour +3
Constats hiérarchisés, synthèse pour la direction, correctifs recommandés.
Sous 3 mois
Nous rejouons chaque constat corrigé. Compris dans la mission.
Les failles qui font perdre des données ou des clients sont rarement exotiques. Ce sont presque toujours des défauts de contrôle d'accès et de logique métier, ceux qu'un scanner automatique ne voit pas.
Ni nom de client, ni détail exploitable. Le secteur, la nature de la faille et le délai de correction suffisent à comprendre le type d'intervention.
Espace candidat locataire
Pièces d'identité et bulletins de salaire accessibles depuis n'importe quel compte.
Logistique · 80 organisations clientes
Une organisation pouvait lire les tournées d'une autre via un identifiant de flotte.
Santé · 500 organisations clientes
Les sessions survivaient à la révocation des accès du praticien.
Des explications utiles sur la sécurité des applications SaaS, sans jargon laissé sans définition.
Méthode, profil des auditeurs, format du rapport, périmètre réel : les questions qui permettent de comparer des devis d'audit de sécurité qui semblent équivalents.
Sous-traitance, mesures techniques appropriées, notification de violation, sécurité par défaut : les obligations du RGPD qui se traduisent directement dans le code.
Score CVSS, criticité contextuelle, exploitabilité : comment interpréter un rapport de test d'intrusion et prioriser correctement les corrections dans votre backlog.
Décrivez votre application en quelques lignes : nous revenons vers vous sous 24 heures ouvrées avec un périmètre chiffré, sans engagement.