Aller au contenu

Trouvez les failles avant les attaquants

Cybersécurité

Tests d'intrusion, revues de code sécurisé et évaluations de vulnérabilités pour applications web, API, applications mobiles et cloud. Nos tests sont menés manuellement, suivent des standards publiés et se terminent par des corrections, pas seulement par un rapport.

Ce que nous testons et corrigeons

Tests d'intrusion

Des tests manuels, du point de vue d'un attaquant, de vos applications web et de votre infrastructure exposée sur Internet. Nous trouvons ce que les scanners automatisés manquent : contrôles d'accès défaillants, failles logiques et vulnérabilités enchaînées.

  • Tests d'applications web
  • Tests d'infrastructure externe
  • Tests authentifiés et non authentifiés
  • Approches boîte noire, grise et blanche

OWASP WSTG, PTES, NIST SP 800-115

  • Tests d'API et d'applications mobiles

    API REST et GraphQL, applications iOS et Android, testées pour les failles d'autorisation, le stockage de données non sécurisé et la faiblesse du chiffrement des échanges.

    OWASP API Security Top 10, OWASP MASVS, OWASP MASTG

  • Évaluation de vulnérabilités

    Des analyses authentifiées de vos systèmes et dépendances. Chaque résultat est vérifié manuellement, les faux positifs sont écartés et le reste est classé selon le risque réel.

    CVSS v4.0, CISA KEV

  • Revue de code sécurisé

    Une revue ligne par ligne du code le plus sensible, comme l'authentification, les paiements et l'accès aux données, appuyée par l'analyse statique et la vérification des dépendances.

    OWASP ASVS, CWE Top 25

  • Audit de sécurité cloud

    Un audit de configuration de vos comptes AWS, Azure ou Google Cloud : identités et accès, exposition réseau, journalisation, chiffrement et stockage.

    CIS Benchmarks

  • Modélisation des menaces

    Avant le développement, nous identifions comment votre système pourrait être attaqué et quels contrôles intégrer dès la conception. Cela coûte bien moins cher qu'une correction tardive.

    STRIDE

  • Correction et contre-test

    Nous sommes à la fois testeurs et ingénieurs logiciels : nous pouvons corriger les constats dans votre code, puis tester à nouveau chacun d'eux et confirmer qu'il est résolu.

Le déroulement d'une mission

Cadrer un test

  1. Cadrage et autorisation

    Nous définissons ensemble les cibles, le type de test, le calendrier et les contacts. Vous signez une autorisation écrite avant tout test.

  2. Tests

    Les tests sont menés manuellement selon la méthodologie convenue. Les outils automatisés les complètent sans jamais les remplacer.

  3. Rapport

    Chaque constat comprend un score CVSS, des preuves, les étapes de reproduction et des recommandations de correction claires. Les problèmes critiques vous sont signalés immédiatement.

  4. Correction et contre-test

    Votre équipe ou la nôtre corrige les constats. Nous les testons ensuite à nouveau et publions un rapport mis à jour.

Ce que vous recevez de nous

  • Synthèse pour la direction

    Les risques expliqués clairement aux fondateurs, aux conseils d'administration et aux auditeurs.

  • Constats techniques

    Chaque problème noté selon CVSS v4.0, avec preuves et étapes de reproduction.

  • Recommandations de correction

    Des corrections précises pour votre stack, classées par priorité.

  • Attestation

    La confirmation de ce qui a été corrigé, à partager avec vos clients ou vos auditeurs.

Pour vous si vous

  • Allez lancer votre produit ou lever des fonds et avez besoin d'un contrôle de sécurité
  • Recevez des demandes de rapport de test d'intrusion de vos clients
  • Traitez des données personnelles, de santé ou de paiement
  • Voulez des failles corrigées, pas seulement listées

Les standards que nous appliquons

Nous suivons des méthodologies publiées et reconnues par le secteur : vous savez exactement ce qui a été testé et comment, et pouvez comparer nos résultats avec toute autre évaluation.

  • OWASP WSTG
  • OWASP ASVS
  • OWASP MASVS
  • OWASP API Top 10
  • PTES
  • NIST SP 800-115
  • CVSS v4.0
  • CIS Benchmarks
  • CWE Top 25

Comment nous traitons vos systèmes

  • Autorisation écrite

    Nous testons uniquement les systèmes qui vous appartiennent ou que vous êtes autorisé à faire tester, et seulement dans le périmètre que vous signez.

  • Règles d'engagement convenues

    Les créneaux de test, les systèmes exclus et les contacts d'urgence sont fixés avant de commencer.

  • Confidentialité par défaut

    Nous signons un accord de confidentialité sur demande, chiffrons les constats au repos et en transit, et ne partageons les rapports qu'avec vos contacts désignés.

  • Suppression après la mission

    Les données de test et les preuves sont supprimées de façon sécurisée à la fin de la durée de conservation convenue.

Vous avez trouvé une vulnérabilité sur notre propre site ? Lire notre politique de sécurité