On a reçu un devis pour un pentest standard à prix fixe : quelle est la vraie différence avec un test approfondi ?

Le gros piège des offres standards, c'est qu'elles passent totalement à côté des failles BOLA (Broken Object Level Authorization). Les scanners balancent des requêtes HTTP avec des paramètres aléatoires, mais ils ne vont jamais tester si l'entreprise A peut récupérer le bon de livraison de l'entreprise B avec son propre token. Ça, seul un humain peut le déceler.

Posez ces 3 questions par écrit aux deux prestataires : 1) Combien d'heures d'exploitation manuelle sont prévues ? 2) Les endpoints API et les apps mobiles font-ils partie du périmètre ? 3) Une phase de contre-test (re-test) gratuite est-elle incluse après correction des vulnérabilités ? Leurs réponses parleront d'elles-mêmes.

L'an dernier à Djeddah, on a payé 14.000 SAR pour un pack standard dans le même cadre. Sur les 18 pages du rapport, 15 n'étaient que du blabla générique et des logs de scan automatique. Le pôle sécu en face l'a direct rejeté, et on a dû réinjecter 32.000 SAR derrière pour faire un vrai test complet.

vous n'avez pas demandé le périmmètre exact à la boîte qui a fait l'offre pas chère ? ils vont probablement juste entrer une plage d'IP lancer leur outil et vous sortir un PDF trois jours plus tard. bref si le responsable sécurité de votre client s'y connaît un minimum le rapport va être rejeté direct.

les tests standards ça ressemble souvent à du simple clic-bouton. franchement s'ils n'ont pas demandé le code source ou la doc de l'api ils vont juste faire un scan auto et basta, impossible de boucler un test manuel en trois jours.

Envoyez au préalable le document de cadrage (scoping document) au responsable de la sécurité informatique d'en face. Ne payez aucun prestataire avant d'avoir une confirmation écrite du type de test qu'ils acceptent.

Comment le périmètre du test d'intrusion est-il défini dans votre contrat de confidentialité et de prestation avec le client ? Ils demandent du black box ou du white box ? De plus, est-ce que votre système gère des paiements ou stocke des données clients sensibles ?

Pour notre premier client B2B on a voulu faire des économies en prenant un pack de test tout prêt on était contents le système était clean. Deux mois plus tard le comptable du client a capté qu'en changeant un paramètre dans l'URL il pouvait télécharger les factures de transport d'une boîte concurrente. Ce jour-là on a compris que les tests standards c'était juste de la poudre aux yeux.

Merci de partager le résultat. N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger. À votre place, j'irais par cette voie.

J'aurais une question, sans vouloir m'éloigner du sujet. Avant de décider, regardez quelles données vous avez en main.

La réponse varie beaucoup selon le secteur, il n'y a pas de règle générale. J'espère que cela vous sera utile.

je suis d'accord.

C'est une bonne idée d'avoir ouvert ce sujet.

Trois points à vérifier lors de cette opération. Quand on essaie de tout changer en même temps, rien ne prend.

Je le note au cas où.

Exact. Commencez par un petit test ne vous engagez pas sur tout d'un coup.

Bon courage.

J'ai vécu exactement la même chose il y a deux ans. Une sauvegarde non testée n'est pas une sauvegarde.

Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

J'aimerais poser une question. Prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.

Je le note au cas où.

Je suis intéressé.

Pourriez-vous préciser un peu ? Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

Si vous avez des questions, écrivez-moi, je répondrai au mieux.