Préparer un pentest web : périmètre, comptes de test et règles d'engagement

La qualité d'un test d'intrusion web tient beaucoup à sa préparation. Un périmètre flou, des accès manquants ou une mise en production non prévenue font perdre des jours et réduisent la couverture. Voici la check-list que nous partageons avec nos clients avant chaque mission.

Définir le périmètre précisément

Listez les domaines, sous-domaines, applications et API concernés, et surtout ce qui est hors périmètre. Précisez les environnements : préproduction identique à la production, ou production avec une fenêtre convenue. Un périmètre écrit évite les malentendus et protège les deux parties.

Choisir l'approche

Boîte noire (aucune information), grise (comptes de test par profil) ou blanche (accès au code) : pour une application métier, la boîte grise offre généralement le meilleur rapport entre couverture et effort, car la plupart des incidents graves viennent d'un utilisateur authentifié qui accède à ce qu'il ne devrait pas voir.

Fournir les comptes de test

Prévoyez au moins deux comptes par profil (utilisateur, gestionnaire, administrateur). Deux comptes d'un même rôle permettent de vérifier qu'un utilisateur ne peut pas accéder aux données d'un autre. Fournissez aussi la documentation de l'API (OpenAPI, collection Postman) lorsqu'elle existe.

Fixer les règles d'engagement

• une autorisation écrite signée par le propriétaire du système, et l'accord de l'hébergeur si ses conditions l'exigent ;
• les horaires de test et les actions à éviter (pas de déni de service, pas de données réelles modifiées) ;
• un contact technique joignable pendant les tests et la procédure en cas d'incident ;
• l'information de votre WAF, hébergeur ou SOC, pour éviter un blocage ou une fausse alerte.

Prévoir l'après

Anticipez la restitution avec vos équipes de développement et le contre-audit qui vérifiera l'efficacité des corrections. Un pentest n'a de valeur que si ses conclusions sont traitées.

Pour comprendre ce qui est réellement testé, consultez notre guide du pentest web, ou demandez un devis.