Aller au contenu principal

Pentest Web

Tester la sécurité de votre site web ou application en simulant des attaques ciblées pour identifier les failles exploitables et vous fournir des corrections priorisées.

3-7 jours
Rapport détaillé avec plan de remédiation
À partir de 3 000€ HT
Pentest Web

Objectifs

Atteignez vos objectifs de sécurité

  • Évaluer la résistance de votre application web face à des attaques ciblées
  • Identifier les failles exploitables dans le code, la configuration ou la logique métier
  • Vérifier la sécurité de l'authentification, des accès et des données sensibles
  • Obtenir des recommandations concrètes et priorisées pour corriger les vulnérabilités

Le pentest web analyse la sécurité de votre site, application ou API en simulant les techniques d'un attaquant réel. Nous testons tout le parcours utilisateur : inscription, connexion, paiement, espace personnel.

Les tests couvrent les applications sur mesure, les CMS comme WordPress et les architectures avec API REST ou GraphQL.

La méthodologie suit un référentiel de test reconnu internationalement (OWASP Testing Guide) et couvre les principales catégories de risques du référentiel OWASP Top 10. Chaque faille est qualifiée avec une note de gravité de 0 à 10 (score CVSS) et accompagnée de recommandations de correction concrètes.

Un audit de code source peut compléter les tests sur les traitements sensibles. Votre application traite des données personnelles ? Découvrez comment vérifier leur exposition.

Méthodologie

Étapes de la mission

Un processus structuré, de la préparation à la restitution.

01

Cadrage

  • Définition des objectifs de test et du périmètre cible
  • Prise en compte du contexte technique et métier
  • Planification des tests selon vos contraintes
02

Scan

  • Découverte des pages, formulaires et fonctionnalités exposées (endpoints)
  • Identification des vecteurs d'entrée et paramètres sensibles
  • Recherche de failles relevant des principales catégories de risques OWASP Top 10
03

Exploitation & Analyse

  • Exploitation manuelle des failles techniques et logiques
  • Contournement des contrôles d'accès et élévation de privilèges
  • Vérification de l'impact réel sur les données ou les comptes utilisateurs
04

Synthèse

  • Analyse des risques liés aux vulnérabilités découvertes
  • Présentation du rapport et restitution orale
  • Recommandations concrètes et priorisées
05

Re-test (optionnel)

  • Nouvelle phase de test pour valider l'efficacité des corrections appliquées
  • Mise à jour du rapport si nécessaire

Livrables

Rapport de sécurité

Un rapport complet vous est remis à l'issue de la mission :

  • Rapport de sécurité avec synthèse exécutive pour la direction
  • Détail technique de chaque vulnérabilité avec preuves (captures d'écran)
  • Recommandations de correction adaptées à votre contexte
  • Plan d'action Excel pour le suivi opérationnel des corrections
  • Restitution orale avec mindmap des chemins d'attaque
  • Re-test optionnel pour valider vos corrections

Illustration

Exemple de mission

Contexte et résultats adaptés à des fins d’illustration et de confidentialité.

Durée

3 jours

Client

PME e-commerce

Projet

Pentest Web : Plateforme e-commerce

Une PME e-commerce souhaitait faire tester la sécurité de sa plateforme de vente en ligne, qui traitait des paiements bancaires et gérait un espace client avec plusieurs niveaux d'accès.

Aucun test de sécurité n'avait été réalisé depuis la mise en ligne de la plateforme.

Résultats

  • Un utilisateur pouvait s'attribuer le rôle administrateur en modifiant sa requête d'inscription
  • Les clés de paiement étaient accessibles depuis l'interface d'administration
  • Aucune journalisation des actions sensibles (connexions, modifications de rôles)
  • Absence d'authentification multifacteur sur les comptes administrateurs

Recommandations

  • Valider le rôle utilisateur côté serveur
  • Activer l'authentification multifacteur sur les comptes administrateurs
  • Mettre en place une journalisation des actions sensibles
  • Ne pas exposer les clés de paiement dans l'interface d'administration
  • Réaliser un test d'intrusion avant chaque mise en production majeure
Voir l’exemple de mission
Voir tous les exemples de missions

Questions fréquentes

Tout ce que vous devez savoir sur notre service Pentest Web.

L'audit de vulnérabilités identifie les failles connues via des scans automatisés.

Le pentest web va plus loin en exploitant manuellement les failles, y compris les vulnérabilités logiques et métier, pour évaluer leur impact réel.

Les tests sont préparés avec vous pour limiter le risque de perturbation, avec des précautions et des conditions d'arrêt définies lors du cadrage.

Un environnement de préproduction peut être utilisé selon les objectifs et les contraintes de la mission.

Nous testons les sites sur mesure et les CMS comme WordPress ou Drupal, ainsi que les applications web et leurs API REST ou GraphQL.

Les technologies et les objectifs sont étudiés lors du cadrage pour adapter la préparation et les tests à votre environnement.

Le rapport inclut le périmètre audité, les vulnérabilités identifiées classées par note de gravité de 0 à 10 (score CVSS), l'évaluation du risque associé, les recommandations de remédiation et un plan d'action priorisé.

Prêt à sécuriser votre entreprise ?

Contactez-nous pour un premier échange gratuit et un devis adapté à vos besoins.

Demander un devis Voir les services