Test d'intrusion externe
Depuis Internet, sans compte ni information privilégiée. La question : un inconnu peut-il entrer ? Exploitation contrôlée des failles identifiées, pour mesurer l'impact réel plutôt que théorique.
Audit technique
Jusqu'où peut aller quelqu'un qui essaie
Un audit dit ce qui est vulnérable. Un test d'intrusion dit ce qu'on en fait. Nous enchaînons les failles comme le ferait un attaquant, dans un périmètre et des horaires convenus par écrit, jusqu'à démontrer l'impact réel : une donnée atteinte, un compte pris, un serveur sous contrôle. Vous recevez les preuves, le chemin suivi, et la contre-vérification après vos correctifs. Nous intervenons à Grenoble, en Isère, partout en France et en Suisse.
4 types de test : externe, interne, applicatif, humain
Périmètre écrit et règles d'engagement signées
Contre-vérification incluse après correction
Un scan n'est pas un test d'intrusion. Un scan identifie des vulnérabilités connues et les note. Un test d'intrusion cherche à les enchaîner pour atteindre un objectif. Le premier répond à « qu'est-ce qui est vulnérable ? », le second à « jusqu'où peut-on aller ? ». Les deux se complètent, et l'ordre compte : on ne teste sérieusement qu'après avoir cartographié, ce que fait l'audit d'infrastructure.
Les périmètres
Quatre tests, quatre questions différentes
On ne choisit pas un test d'intrusion par habitude, mais en fonction du scénario qui vous inquiète. Chacun répond à une question qu'aucun des autres ne couvre.
Test d'intrusion interne
Depuis une prise réseau ou un poste compromis. La question : une fois dedans, jusqu'où va-t-on ? C'est là que se jouent les rançongiciels : élévation de privilèges, prise de l'annuaire, accès aux sauvegardes.
Test applicatif et web
Sur votre site, votre espace client, votre application métier, avec des comptes de test. La question : un utilisateur légitime peut-il voir ou faire ce qui ne lui appartient pas ? Référentiel OWASP, plus la logique propre à votre métier.
Ingénierie sociale
Campagne de hameçonnage ciblée, appels, demande de virement. La question : vos équipes résistent-elles ? Les résultats sont restitués de façon collective et anonyme : on mesure un dispositif, on ne désigne personne.
Niveau d'information
Boîte noire, grise ou blanche
Ce que nous savons de vous avant de commencer change ce que le test démontre, et son coût. Le choix se fait au cadrage.
Boîte noire
Aucune information : nous partons de votre nom. C'est le plus réaliste, et le plus long. Un test qui échoue en boîte noire ne prouve pas que vous êtes sûrs, seulement que nous avons manqué de temps.
Boîte grise
Des comptes utilisateurs standards et le périmètre technique. C'est le meilleur rapport entre couverture et budget, et le choix le plus fréquent : le temps passe en exploitation, pas en reconnaissance.
Boîte blanche
Accès complet : documentation, configurations, parfois le code. Couverture maximale pour un budget donné. C'est l'option à retenir quand l'objectif est de corriger, non d'éprouver une défense.
Les chemins récurrents
Par où ça passe, en pratique
Les intrusions spectaculaires sont rares. Dans la très grande majorité des tests, le chemin qui mène au but est une suite de petites faiblesses banales, dont aucune ne paraissait grave isolément. Voici celles que nous enchaînons le plus souvent.
Un mot de passe qui sert deux fois
Un identifiant trouvé dans une fuite publique, ou deviné sur un service exposé, qui fonctionne aussi sur l'annuaire interne. C'est le chemin le plus court entre l'extérieur et le cœur du système, et de loin le plus fréquent.
Un compte de service trop puissant
Un compte créé pour une application, doté de droits étendus « pour que ça marche », dont le mot de passe n'a pas changé depuis l'installation et n'expire jamais. Il transforme un accès limité en contrôle de l'annuaire.
Un second facteur contournable
Validation par simple notification que l'utilisateur finit par accepter, exceptions laissées sur certains comptes, protocoles anciens restés actifs sur la messagerie. L'authentification forte mal paramétrée protège moins qu'elle ne rassure.
Une application qui ne vérifie pas qui demande
Un espace client où changer un numéro dans l'adresse donne accès au dossier d'un autre, un export accessible sans contrôle, un rôle d'administrateur atteignable en modifiant une requête. Ces défauts-là ne se voient pas dans un scan.
Un réseau sans cloisons
Une fois sur un poste quelconque, tout le reste est joignable : serveurs, sauvegardes, machines de production, parfois les automates. C'est ce qui fait la différence entre un incident contenu et un arrêt complet.
Des sauvegardes dans le même périmètre
Lorsque le compte qui administre les serveurs administre aussi les sauvegardes, il n'y a plus de filet. Nous le démontrons sans rien détruire : montrer qu'on pourrait suffit, et c'est souvent le constat qui débloque le budget.
Un test d'intrusion ne mesure pas votre niveau technique : il mesure la distance entre un inconnu et vos données. Cette distance se raccourcit par accumulation, rarement par une faille unique. C'est pourquoi le rapport raconte des chemins complets plutôt qu'il ne liste des vulnérabilités : couper un maillon suffit souvent à fermer plusieurs scénarios d'un coup.
Déroulement
Quatre étapes, et rien en dehors du cadre
Un test d'intrusion comporte une phase d'exploitation : c'est le seul de nos travaux qui touche à vos systèmes. Il est donc encadré par écrit, de bout en bout.
-
Cadrage et règles d'engagement
Périmètre, objectifs, techniques exclues, horaires, interlocuteur joignable à tout moment, procédure d'arrêt immédiat. Tout est signé avant la première requête. Rien hors de ce document ne sera touché.
-
Reconnaissance
Cartographie du périmètre et repérage des points faibles : services exposés, versions, comptes, identifiants déjà fuités. Phase passive, sans impact.
-
Exploitation et progression
Les failles sont exploitées puis enchaînées : élévation de privilèges, déplacement latéral, accès aux données. Chaque étape est horodatée et prouvée par capture. Un incident en dehors du cadre déclenche l'arrêt et un appel.
-
Rapport et contre-vérification
Rapport technique, synthèse pour la direction, restitution orale. Puis, après vos correctifs, nous rejouons les chemins démontrés et attestons par écrit de leur fermeture. C'est compris dans le prix.
De votre côté
Ce que nous vous demandons de préparer
Peu de choses, mais aucune n'est facultative : ce sont elles qui rendent le test licite, sûr et exploitable. Nous les passons en revue au cadrage, et nous ne démarrons pas tant qu'elles ne sont pas réunies.
Une autorisation écrite
Signée par une personne habilitée à engager l'entreprise, listant précisément le périmètre et les dates. Sans ce document, le test n'a pas lieu : en dehors d'un mandat, les mêmes actes relèvent du code pénal.
L'accord de votre hébergeur
Si vos serveurs ou vos applications sont chez un tiers, infogéreur ou fournisseur de cloud, son autorisation est nécessaire : la plupart l'encadrent par une procédure déclarative. Nous vous aidons à la formuler, et nous attendons la réponse.
Des comptes de test
Pour un test applicatif, un compte par profil d'utilisateur, créés pour l'occasion et supprimés après. Jamais le compte réel d'un salarié : nous n'avons pas à voir ses données, et vous n'avez pas à nous les confier.
Une fenêtre et un contact
Les horaires pendant lesquels nous pouvons agir, et une personne joignable de chaque côté pendant toute la durée. C'est ce qui permet d'arrêter en quelques minutes si quelque chose se comporte autrement que prévu.
Ce qui reste après
Un rapport qui se lit, et qui se prouve
Un test d'intrusion n'a de valeur que si son résultat est opposable : à un auditeur, à un client qui vous l'a demandé, à un assureur. Nous écrivons pour ces trois lecteurs.
Une attestation pour vos clients
De plus en plus d'appels d'offres et de questionnaires fournisseurs exigent un test d'intrusion daté. Vous obtenez une attestation de réalisation présentable sans divulguer le détail des failles.
La contre-vérification
Corriger sans vérifier revient à supposer. Nous rejouons les scénarios démontrés après vos correctifs et attestons de leur fermeture, ou signalons ce qui reste ouvert.
Le test d'intrusion est la preuve de votre conformité. L'ISO 27001 attend une évaluation technique régulière de vos mesures, l'article 21 de NIS2 impose de tester leur efficacité, et l'article 32 du RGPD demande une procédure de vérification de la sécurité des traitements. Un test d'intrusion documenté répond aux trois avec un seul livrable.
Questions fréquentes
Ce qu'on nous demande le plus
Combien coûte un test d'intrusion ?
Le prix dépend du périmètre : nombre d'applications, présence d'un espace client, comptes à tester, contraintes horaires, niveau d'information retenu. Nous chiffrons après un premier échange, sur un périmètre écrit, et nous ne facturons jamais à la vulnérabilité trouvée, ce qui serait un mauvais alignement d'intérêts. Pour un premier état des lieux à prix fixe, l'audit d'exposition est à 890 € HT.
Quelle différence entre un scan et un test d'intrusion ?
Un scan identifie des vulnérabilités connues et les note. Un test d'intrusion cherche à les enchaîner pour atteindre un objectif : accéder à une donnée, prendre la main sur un compte. Le premier répond à « qu'est-ce qui est vulnérable ? », le second à « jusqu'où peut-on aller ? ». Un scan se vend à la machine ; un test se cadre au scénario.
Le test risque-t-il de casser quelque chose ?
C'est le seul de nos travaux qui comporte une phase d'exploitation, donc le risque n'est pas nul : nous l'encadrons plutôt que de le nier. Les techniques susceptibles de provoquer une interruption, comme les attaques en déni de service, sont exclues par défaut. Les tests se déroulent dans les horaires que vous fixez, un interlocuteur est joignable des deux côtés, et une procédure d'arrêt immédiat figure dans les règles d'engagement. Si votre application est fragile, nous testons d'abord un environnement de recette.
Combien de temps dure un test d'intrusion ?
De trois à dix jours de test selon le périmètre, plus une semaine de rédaction. Un test externe sur un périmètre restreint tient en quelques jours ; un test interne avec annuaire, ou un test applicatif sur plusieurs profils d'utilisateurs, demande davantage. La contre-vérification intervient plus tard, quand vous avez corrigé.
Faut-il prévenir nos équipes ?
Cela dépend de ce que vous voulez mesurer. Si l'objectif est de trouver les failles, prévenez : vous gagnez du temps et évitez les fausses alertes. Si l'objectif est d'éprouver votre capacité de détection et de réaction, seules deux ou trois personnes sont au courant. Dans les deux cas, votre prestataire informatique doit l'être, et un courrier d'autorisation est nécessaire si vos serveurs sont hébergés chez un tiers.
À quelle fréquence faut-il le refaire ?
Une fois par an pour un périmètre stable, et systématiquement après une évolution notable : nouvelle application, refonte d'un espace client, migration, ouverture d'un accès distant. Entre deux tests, l'audit en continu surveille l'apparition de nouvelles expositions pour 290 € HT par mois.
Intervenez-vous en dehors de Grenoble ?
Oui. Nous sommes établis à Grenoble et nous déplaçons en Isère et en Auvergne-Rhône-Alpes pour les restitutions, les tests internes et les formations. Les tests externes et applicatifs s'effectuent à distance, ce qui nous permet d'intervenir partout en France, ainsi qu'en Suisse.
Un test d'intrusion, est-ce légal ?
Oui, à une condition : l'autorisation écrite du responsable des systèmes testés. Les actes qui composent un test — accéder à un système, s'y maintenir, en extraire des données — sont réprimés par les articles 323-1 et suivants du code pénal lorsqu'ils sont commis sans droit. Le mandat écrit est ce qui fait la différence, et c'est pourquoi nous ne démarrons jamais sans lui, ni ne sortons du périmètre qu'il décrit. Si les systèmes appartiennent à un tiers, hébergeur ou éditeur, son accord est également requis.
Utilisez-vous des outils automatiques ?
Oui, pour la partie où ils sont bons : la reconnaissance et la détection de vulnérabilités connues. Mais un outil ne sait ni enchaîner des faiblesses, ni comprendre qu'un export anodin contient vos données clients, ni juger qu'un défaut théoriquement mineur est critique dans votre contexte. C'est tout l'écart entre un scan et un test : la partie qui compte est faite à la main, et chaque constat est vérifié avant d'entrer dans le rapport. Nous ne livrons jamais une sortie d'outil.
Que deviennent les données auxquelles vous accédez ?
Nous n'extrayons que ce qui est nécessaire pour prouver l'accès : une capture, un enregistrement, un nombre d'enregistrements atteignables — jamais une copie de votre base. Les éléments de preuve sont conservés chiffrés pendant la durée convenue, puis détruits sur attestation. L'engagement de confidentialité figure au contrat et survit à la fin de la mission. Si nous découvrons des données personnelles exposées, nous vous le signalons immédiatement : c'est peut-être une violation à notifier au titre du RGPD.
Mesurer l'impact réel, pas le risque théorique
Parlons de votre périmètre. Le devis suit un document écrit, jamais un catalogue.