Pentest : test d'intrusion de vos applications web, API et mobiles
Avec votre autorisation écrite, nous attaquons de façon ciblée votre application web, votre API ou votre application mobile, et nous documentons chaque chemin vers vos données. Les scanners balaient toute la surface. Nos ingénieurs testent à la main là où les scanners sont faibles : droits d'accès, logique métier et failles qui ne deviennent dangereuses qu'une fois combinées. Vous recevez de vrais constats avec une correction concrète, pas un export de scanner.
En bref
- Web, API et mobilePas de tests réseau ni d'infrastructure
- Prix fixe dans la proposition écriteAvant le début du test
- Règles d'engagementSignées par les deux parties avant le test
- Attestation pour vos auditeursCe qui a été testé, quand et par qui
Ce que nous testons
Nous testons des applications, pas des réseaux. Un pentest peut couvrir un, deux ou les trois niveaux.
Applications web
D'abord l'OWASP Top 10, puis ce qu'aucun scanner ne voit.
- Connexion, sessions et réinitialisation du mot de passe
- Un client qui voit les données d'un autre
- Prix, remises et étapes contournées
API
REST et GraphQL, selon l'OWASP API Security Top 10.
- Accès aux objets, aux champs et aux fonctions
- Jetons, clés d'API et limites de débit
- Des entrées que l'API n'attend pas
Applications mobiles
Applications iOS et Android compilées, avec les API qui les servent, selon l'OWASP MASVS et le MASTG.
- Données stockées sur l'appareil
- Trafic réseau et vérification des certificats
- Clés et serveurs de test restés dans l'application
Hors offre : tests d'intrusion réseau, d'infrastructure et de périmètre cloud. Les tests fonctionnels de votre logiciel sont sur la page Test logiciel, l'accessibilité sur la page Audit RGAA.
Méthode : automatisée et manuelle
- OWASP Top 10
- OWASP API Security Top 10
- OWASP MASVS / MASTG
- PTES
Périmètre
URL, points d'accès, builds et rôles utilisateurs, fixés par écrit.
Passage automatisé
Notre AI Security Toolkit teste l'application en fonctionnement avec Nuclei et sqlmap. Si nous avons le code source, Semgrep, Trivy et gitleaks s'y ajoutent, ainsi que 20 contrôles développés en interne.
Test manuel
Un ingénieur parcourt votre produit dans chaque rôle, comme le ferait un attaquant.
Vérification
Chaque constat critique est reproduit à la main avant d'entrer dans le rapport.
En boîte noire depuis l'extérieur, ou en boîte grise avec des comptes de test pour chaque rôle. Deux failles moyennes peuvent en former une critique : le rapport présente ces chaînes d'attaque comme telles.
Ce que vous recevez
Constats prêts à corriger
Gravité, étapes de reproduction, preuve et correction au niveau du code.
Chaînes d'attaque
Là où les constats se combinent : du premier pas jusqu'au dommage.
Synthèse pour la direction
Un résumé pour la direction, séparé du détail destiné à vos développeurs.
Constats en temps réel
Dans BugBoard dès qu'un constat est confirmé, pas des semaines plus tard dans un PDF.
Règles d'engagement
Signées avant le test : ce que nous testons, comment, quand, et qui appeler en cas d'urgence.
Attestation de pentest
Pour vos auditeurs ou vos clients : ce qui a été testé, quand et par qui.
Rapport et échanges en français ou en anglais ; interlocuteurs francophones sur demande. Les rapports et la configuration des outils vous restent acquis après le projet.
Comment se déroule un pentest
Premier échange
Ce que fait votre produit, qui l'utilise et ce qui vous inquiète.
NDA et contrat RGPD
Accord de confidentialité et accord de sous-traitance des données, avant tout accès.
Règles d'engagement
Cibles, rôles, environnements, créneaux et contacts, convenus par écrit.
Test
Automatisé et manuel, par défaut sur votre environnement de préproduction.
Rapport
Chaque constat avec preuve et correction, plus la synthèse pour la direction.
Contre-test (en option)
Après vos corrections, nous vérifions qu'elles tiennent. Facturé au tarif horaire.
Besoin de tester plus d'une fois par an ? Nous pouvons tester chaque version majeure, comme testeurs sécurité au sein de votre équipe.
Prix d'un test d'intrusion
Le tarif dépend de l'expérience des ingénieurs et du type de travail. Le prix fixe de votre périmètre figure dans la proposition écrite, avant le début du test.
Les contre-tests ne sont pas inclus dans le prix fixe et sont facturés au même tarif horaire. Nos outils sont inclus, sans frais de licence.
Combien coûte un pentest ?
Cela dépend de l'effort, et l'effort dépend du périmètre. Voici ce qui le détermine :
- Taille de l'application : nombre de pages, de fonctions et de points d'accès API
- Rôles utilisateurs : chaque rôle est testé séparément
- Plateformes : web, iOS, Android ou l'ensemble
- Approche : boîte noire ou grise, avec ou sans code source
- Logique métier : paiements, validations, séparation des clients
- Environnement : préproduction, ou production dans des limites convenues
Le mois d'essai de nos équipes en mission continue ne s'applique pas à un pentest ponctuel.
Pourquoi choisir BetterQA pour un pentest
Indépendants
Nous ne faisons que tester. Nous n'avons pas écrit votre code et ne vous vendons pas la correction.
Notre propre boîte à outils
Sur une application de test publique, volontairement vulnérable, notre boîte à outils a démontré six chaînes d'attaque fonctionnelles. Voir le benchmark (en anglais)
Basés dans l'UE, RGPD
Nous sommes en Roumanie, le RGPD s'applique. Les constats sont traités sous NDA, dans le cadre de notre système de management ISO 27001.
Une heure d'avance sur Paris
Projet en français ou en anglais ; interlocuteurs francophones sur demande. Nos journées de travail se recouvrent presque entièrement avec les vôtres.
La page en anglais : Penetration testing services (en anglais).
Questions fréquentes sur le test d'intrusion
Combien coûte un pentest chez BetterQA ?
20 à 45 € de l'heure. Après le premier échange, vous recevez une proposition écrite avec un prix fixe pour votre périmètre. Les contre-tests sont facturés à part, au tarif horaire.
Quelle différence entre pentest et scan de vulnérabilités ?
Un scan liste des failles possibles. Lors d'un pentest, une personne vérifie lesquelles sont réellement exploitables et ce qu'un attaquant peut en tirer. Nous faisons les deux.
Quels systèmes testez-vous ?
Les applications web, les API et les applications iOS et Android.
Boîte noire ou boîte grise ?
La boîte noire montre ce qu'un attaquant obtient de l'extérieur. La boîte grise, avec un compte de test par rôle, vérifie aussi ce qu'un utilisateur connecté peut faire. Avec le code source, nous vérifions aussi le code et les dépendances.
Testez-vous aussi la production ?
Seulement si vous le souhaitez et après avoir fixé les limites par écrit. Une préproduction avec des données de test est plus sûre et souvent tout aussi parlante.
Êtes-vous qualifiés PASSI ?
Non. Si votre appel d'offres ou votre réglementation exige un prestataire qualifié PASSI par l'ANSSI, cette offre ne vous convient pas.
Recevrons-nous une preuve pour nos auditeurs ?
Oui. Nous signons les règles d'engagement avant le test et vous remettons ensuite une attestation de pentest pour vos auditeurs : ce qui a été testé, quand et par qui.
Le contre-test est-il inclus dans le prix ?
Non. Nous le facturons au même tarif horaire. Vous ne payez que pour les corrections que vous faites vérifier.
Préparons votre test d'intrusion
Dites-nous ce que vous développez, qui l'utilise et ce qui vous inquiète. Nous vous dirons ce que nous testerions en premier et ce que cela coûte.