01
Authentification et accès
Connexions, mots de passe, authentification multifacteur et droits d’accès entre utilisateurs.
Cybersécurité & conformité
Évaluer ma situation →
Pentest web : identifiez vos failles avant qu’un attaquant ne les exploite.
Un pentest web est un audit de sécurité contrôlé qui consiste à simuler les actions d’un attaquant sur un site, une application ou une API, avec l’autorisation explicite de son propriétaire. Il permet d’identifier les failles exploitables avant qu’elles ne soient utilisées contre votre entreprise ou vos utilisateurs.
SecuriTrust évalue la sécurité de vos sites, applications et API pour détecter les vulnérabilités qui pourraient exposer vos données, vos clients ou votre activité.
Ce qu’un pentest change pour les dirigeants
Risques anticipés
Identifiez les vulnérabilités avant qu’elles ne soient découvertes par un attaquant.
Priorités claires
Priorisez les corrections selon leur niveau de risque réel.
Exigences satisfaites
Répondez aux exigences de vos clients, assureurs, audits ou démarches de conformité.
Ce que disent nos clients · ★★★★★ 5/5 sur Google
★★★★★
« Excellente expérience avec l’équipe de pentest. Très professionnelle, rigoureuse et pragmatique. Une communication claire et des recommandations directement applicables. Je recommande vivement ! »
★★★★★
« Securitrust nous accompagne avec succès depuis 9 ans. Leur expertise en tant que RSSI externalisé et aussi sur les tests d’intrusion. Nous recommandons vivement leurs services. »
Pentest web, en quelques mots
Le pentest web va plus loin qu’un simple scan automatique : il combine des outils et une analyse humaine pour vérifier, dans un cadre défini, si une faiblesse peut réellement avoir un impact sur votre entreprise.
02
Données et formulaires
Formulaires, fichiers importés, données saisies et protection des données personnelles.
03
Configuration et API
Configuration du site, du serveur, des composants et des échanges avec des applications tierces.
Pourquoi réaliser un pentest
Une faille non détectée peut devenir une fuite de données, une fraude ou un arrêt de service.
Vulnérabilités identifiées
Identifiez les vulnérabilités avant qu’elles ne soient découvertes par un attaquant.
Données protégées
Protégez les données de vos clients, collaborateurs et partenaires.
Risques réduits
Réduisez les risques de fraude, de ransomware, de fuite de données ou d’atteinte à votre image.
Corrections priorisées
Priorisez les corrections selon leur niveau de risque réel.
Efficacité vérifiée
Vérifiez l’efficacité des mesures de sécurité déjà en place.
Comment SecuriTrust intervient
SecuriTrust réalise des tests encadrés, ciblés et utiles à vos équipes techniques comme à votre direction.
01
Cadrage
Définition des sites, applications, API, comptes de test, dates et limites du périmètre.
02
Autorisation formelle
Validation écrite des tests et des règles d’intervention afin de protéger votre activité.
03
Phase de test
Recherche contrôlée de vulnérabilités selon le niveau d’information convenu.
04
Analyse des impacts
Évaluation des risques pour vos données, vos utilisateurs et vos services.
05
Rapport priorisé
Restitution claire des failles, de leur criticité, de leur impact et des actions correctrices recommandées.
06
Contre-audit
Vérification des corrections apportées, si nécessaire.
Sécurité et confidentialité
Un pentest professionnel doit être autorisé, maîtrisé et réalisé sans mettre votre activité en danger.
Ce qui encadre le test
- ✓Périmètre, règles d’engagement et conditions de confidentialité définis avant toute intervention
- ✓Tests les plus intrusifs réalisés en préproduction quand c’est possible
- ✓Boîte noire, grise ou blanche selon le niveau d’information convenu
- ✓Recours possible à un prestataire qualifié PASSI par l’ANSSI
À retenir
- !Le pentest va plus loin qu’un scan automatique : il combine outils et analyse humaine
- !Le référentiel OWASP Web Security Testing Guide sert de méthodologie de référence
- !Les 3 modes de test (boîte noire, grise, blanche) sont prévus par les référentiels PASSI de l’ANSSI
- !Un test doit toujours être autorisé par écrit avant intervention
Guide complet
Pentest web : le guide complet du test d’intrusion d’application et d’API
Un pentest web consiste à attaquer, avec votre autorisation, votre site, votre application ou votre API comme le ferait un attaquant, pour trouver les failles exploitables avant lui. Ce guide explique ce qui est testé, selon quelles méthodes, comment se déroule une mission et comment en tirer un plan de correction utile.
Qu’est-ce qu’un pentest web ?
Le test d’intrusion web (ou pentest web) est un audit offensif d’une application accessible par navigateur ou d’une API. Un auditeur cherche à contourner l’authentification, accéder aux données d’autres utilisateurs, détourner la logique métier ou prendre le contrôle du serveur, puis démontre l’impact réel de chaque faille.
Il se distingue d’un scan de vulnérabilités automatisé : un scanner signale des faiblesses connues et produit de nombreux faux positifs ; il ne comprend ni vos rôles utilisateurs, ni vos workflows, ni l’enchaînement de failles mineures qui mène à une compromission. Le pentest combine outils et analyse manuelle, et chaque vulnérabilité rapportée est vérifiée.
Boîte noire, grise ou blanche : quelle approche choisir ?
| Approche | Informations fournies | Ce qu’elle mesure |
|---|---|---|
| Boîte noire | Aucune, hormis l’adresse cible | Ce qu’un attaquant anonyme peut obtenir depuis Internet |
| Boîte grise | Comptes de test pour chaque profil (utilisateur, gestionnaire, administrateur), documentation de l’API | Ce qu’un client ou un compte compromis peut faire : escalade de privilèges, accès aux données d’autrui |
| Boîte blanche | Code source, architecture, configuration | La couverture la plus complète, y compris les failles difficiles à trouver de l’extérieur |
Pour une application métier ou un espace client, la boîte grise offre en général le meilleur rapport entre couverture et effort : la plupart des incidents graves viennent d’un utilisateur authentifié qui accède à ce qu’il ne devrait pas voir.
Ce qui est testé
Les tests s’appuient sur les référentiels de l’OWASP : le Top 10 des risques des applications web, le guide de test WSTG, le standard de vérification ASVS et le Top 10 de la sécurité des API. Concrètement :
- Authentification et sessions : robustesse des mots de passe, MFA, réinitialisation, fixation et expiration des sessions, jetons JWT.
- Contrôle d’accès : accès aux objets d’autres utilisateurs (IDOR), escalade horizontale et verticale, fonctions d’administration exposées.
- Injections : SQL, NoSQL, commandes système, modèles côté serveur, XSS stockées et réfléchies.
- Logique métier : contournement d’étapes, manipulation de prix ou de quantités, conditions de course.
- API : exposition excessive de données, absence de limitation de débit, méthodes non documentées, autorisation au niveau des propriétés.
- Fichiers et requêtes serveur : téléversement malveillant, inclusion de fichiers, SSRF vers l’infrastructure cloud.
- Configuration : en-têtes de sécurité, TLS, CORS, messages d’erreur, composants obsolètes, secrets exposés.
Comment se déroule une mission
- Cadrage : périmètre précis (domaines, API, environnements), approche, profils de test, dates, contraintes de production.
- Autorisation écrite : une convention signée par le propriétaire du système, et l’accord de l’hébergeur si ses conditions l’exigent. Sans elle, un test d’intrusion est une intrusion au sens du code pénal.
- Reconnaissance : cartographie des fonctions, des points d’entrée et des technologies.
- Tests et exploitation contrôlée : recherche manuelle et outillée, exploitation sans altération des données, alerte immédiate en cas de faille critique.
- Rapport : synthèse pour la direction, puis pour chaque vulnérabilité sa preuve, son impact, son score de criticité (CVSS) et une recommandation de correction concrète.
- Restitution avec les équipes de développement, puis contre-audit pour vérifier que les corrections sont efficaces.
La durée dépend du nombre de fonctions, de profils et d’endpoints d’API : de quelques jours pour un site vitrine ou une API simple à plusieurs semaines pour une plate-forme métier complexe.
Quand réaliser un pentest web ?
- Avant une mise en production ou une refonte majeure ;
- au moins une fois par an sur les applications exposées qui traitent des données sensibles ;
- à la demande d’un client, d’un assureur ou d’un auditeur (ISO 27001, HDS, DORA, NIS2) ;
- après un incident ou la découverte d’une faille sur un composant utilisé.
Certains bénéficiaires (opérateurs d’importance vitale, administrations relevant du RGS) doivent faire appel à un prestataire qualifié PASSI par l’ANSSI : vérifiez ce point avant de lancer la consultation.
Bien préparer le test : la check-list
- Un environnement de test représentatif de la production, ou une fenêtre de test validée en production.
- Au moins deux comptes par profil, pour tester l’accès aux données d’un autre utilisateur.
- La documentation de l’API (OpenAPI, collection Postman) et la liste des environnements hors périmètre.
- Un contact technique joignable pendant les tests, et la procédure en cas d’incident.
- L’information de votre hébergeur, de votre WAF ou de votre SOC, pour éviter un blocage ou une fausse alerte.
Questions fréquentes
Quelle différence entre un pentest web et un scan de vulnérabilités ?
Un scan automatisé repère des faiblesses connues, sans comprendre la logique de l’application et avec des faux positifs. Un pentest est mené par un auditeur qui teste les droits, les workflows et les enchaînements de failles, vérifie chaque résultat et démontre l’impact réel. Les deux sont complémentaires.
Un pentest peut-il perturber mon site en production ?
Le risque est faible lorsque le test est bien cadré : pas de déni de service, exploitation sans modification de données, fenêtres convenues et contact joignable. Pour les applications sensibles, on privilégie un environnement de préproduction identique à la production.
Combien de temps dure un pentest web ?
Il faut compter de quelques jours pour un site ou une API simple à plusieurs semaines pour une plate-forme métier avec de nombreux profils et fonctions. Le cadrage permet d’estimer la charge à partir du nombre de pages fonctionnelles, de rôles et d’endpoints.
Que contient le rapport de pentest ?
Une synthèse lisible par la direction, puis pour chaque vulnérabilité sa description, la preuve d’exploitation, l’impact métier, un score de criticité CVSS et une recommandation de correction priorisée. Il sert de base au plan de remédiation et au contre-audit.
À quelle fréquence faut-il faire un pentest web ?
Au minimum une fois par an pour une application exposée qui traite des données sensibles, et à chaque évolution majeure : nouvelle fonctionnalité critique, refonte, changement d’hébergement. NIS2 et DORA demandent d’évaluer régulièrement l’efficacité des mesures de sécurité.
Faut-il un prestataire qualifié PASSI ?
La qualification PASSI de l’ANSSI est obligatoire pour certains bénéficiaires, comme les opérateurs d’importance vitale ou les systèmes relevant du RGS. Pour les autres organisations, elle n’est pas exigée ; vérifiez néanmoins les attentes de vos clients et de vos référentiels de conformité.
Pour aller plus loin
Tous nos pentestsExterne, interne, mobile, physique, Red Team : choisir le bon test.Pentest mobileLe même niveau d’exigence pour vos applications iOS et Android.Audit de code sourceLa boîte blanche poussée jusqu’à la revue du code.Pentest externeÉtendre le test à toute votre surface exposée sur Internet.Audit Microsoft 365L’autre porte d’entrée majeure : vos comptes et votre messagerie.
Articles du blog
Identifiez vos failles avant qu’un attaquant ne les exploite
Avec un pentest web, SecuriTrust identifie les failles de vos sites et applications, mesure leur impact réel et vous fournit un plan de correction priorisé pour protéger vos données et vos utilisateurs.
Demander un échange →Réponse sous 2h · 100% confidentiel