Une méthodologie explicite, du cadrage au correctif vérifié

Nous écrivons ensemble le périmètre : domaines, API, applications mobiles, intégrations. Surtout, nous écrivons les exclusions : ce qui ne sera pas testé est aussi important que ce qui le sera.

• Périmètre et exclusions formalisés par écrit
• Autorisation de tests signée par les deux parties
• Vérification des conditions de votre hébergeur (certains exigent une déclaration préalable)
• Fenêtre d'intervention et canal de contact d'urgence convenus

Un environnement représentatif conditionne la valeur des résultats. Nous validons les accès la veille du démarrage pour ne pas consommer de jours de mission à déboguer des comptes.

• Deux organisations distinctes, ou deux comptes utilisateurs distincts pour une application grand public, réellement peuplés de données fictives
• Un compte par rôle dans chacune : administrateur, standard, lecture seule, invité
• Boîte e-mail de test accessible pour les parcours d'invitation et de réinitialisation
• Configuration de sécurité identique à la production, ou écarts documentés

Nous reconstituons la surface réellement exposée, qui dépasse presque toujours ce que la documentation décrit : sous-domaines actifs, endpoints non documentés, environnements de démonstration oubliés.

• Inventaire des points d'entrée et des paramètres acceptés
• Cartographie des rôles et de leurs actions autorisées
• Repérage des flux de données sortants vers des services tiers
• Relevé des composants et versions exposés

C'est ici que se joue la différence entre un audit et un scan. Les outils automatisés servent à couvrir le terrain connu ; les défauts qui comptent, logique métier, contrôle d'accès et séparation entre clients, se trouvent à la main.

• Contrôle d'accès horizontal : substitution systématique de références entre organisations ou entre comptes
• Contrôle d'accès vertical : chaque action tentée depuis chaque rôle
• Séparation multi-tenant : caches, index de recherche, tâches asynchrones, fichiers
• Logique métier : facturation, quotas, invitations, partages, imports et exports
• Enchaînement de constats mineurs en scénarios complets

Chaque constat est reproduit au moins deux fois avant d'être retenu, puis noté. Un constat critique ne vous est jamais annoncé dans le rapport final : nous vous alertons immédiatement.

• Vérification systématique pour écarter les faux positifs
• Score CVSS v3.1 avec vecteur complet, vérifiable
• Criticité contextualisée, tenant compte de la sensibilité réelle de vos données
• Alerte immédiate en cas de constat critique ou de compromission en cours

Le rapport est rédigé en français, structuré pour deux publics distincts : une synthèse lisible par la direction, et un corps technique exploitable directement par vos développeurs.

• Synthèse de deux pages sans jargon, avec niveau de risque global
• Constats localisés précisément, mécanisme expliqué, preuve fournie
• Recommandations adaptées à votre pile technique
• Section « périmètre et limites » explicite sur ce qui n'a pas été testé
• Rapport complet détaillant l'ensemble des constats, reproductibilité et proposition de correctif

Un correctif écrit dans l'urgence n'a été relu par personne d'extérieur. Nous vérifions que chaque constat est réellement traité : il n'est pas rare qu'un tiers des correctifs soit incomplet.

• Reprise de chaque constat et vérification du correctif
• Contrôle des variantes : même défaut sur un endpoint équivalent
• Rapport de contre-vérification et attestation mise à jour