On nous demande un pentest pour un appel d'offres : qu'est-ce que c'est exactement et quand est-ce que ça vaut le coup ?

Regardez le type de test demandé dans le cahier des charges. En black-box, ils testent sans aucune information préalable sur le système ; en grey-box, on leur fournit un compte utilisateur pour auditer l'interface et les droits d'accès. Les mairies demandent généralement du grey-box.

L'année dernière à Madrid, on a payé 5.200 EUR pour un audit similaire. Ils ont trouvé deux failles critiques d'élévation de privilèges dans notre propre code : un utilisateur externe pouvait voir les documents des autres. On a remporté le marché, mais surtout, on a évité un scandale de fuite de données.

Il y a des prestataires qui facturent 1.500 EUR pour lancer un simple outil open source automatique et habiller le rapport avec de l'IA. Les institutions publiques repèrent ces rapports superficiels immédiatement à l'examen, vous perdrez votre argent pour rien.

Cadrez bien le périmètre (scope) au moment de demander des devis. Ne demandez une offre que pour le module concerné par le marché et son serveur dédié. Si vous incluez tout le réseau de la boîte, les coûts vont exploser et vous allez cramer votre budget inutilement.

Le processus se déroule généralement en trois étapes : 1) Cadrage du périmètre et contrat. 2) Simulation d'attaque et rapport des failles. 3) Test de validation après correction des failles par votre équipe. Les acheteurs publics exigent généralement de voir les vulnérabilités corrigées dans le rapport final.

si tu bosses côté public c'est devenu la procédure standard malheureusement. bref perso je dirais de voir ça pas comme une dépense one-shot mais comme un coût de contrôle qualité du produit.

Pendant ce test, ils travaillent sur un environnement de test ou ils attaquent le serveur en prod ? franchement y a un risque que le système plante ou que les données clients soient corrompues pendant le test ?

Le budget paraît élevé au début je comprends très bien. Mais quand tu vends du logiciel au public, ce genre de documents de sécurité neutres te renforcent incroyablement la main à la table, autant que les références clients, n'hésite pas.

Je trouve difficile d'être aussi catégorique côté test d'intrusion. La plupart des pertes de temps s'accumulent sur les tâches en attente de validation.

Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

Ce sujet est archivé.

Comment avez-vous résolu ce point ? Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

Beau travail. La plupart des pertes de temps s'accumulent sur les tâches en attente de validation.

Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement. Je le note au cas où.

Mon regard a changé après avoir vécu cela. La plupart des pertes de temps s'accumulent sur les tâches en attente de validation.

Bon courage.

Exact.

Je suis dans la même situation, c'est pourquoi je pose la question. Si c'est une première, commencez petit, l'échelle viendra plus tard.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

je suis du même avis. genre tout point non écrit est un pont que les deux parties se rappelleront différemment plus tard.

si l'autorisation et le périmètre ne sont pas écrits ne lancez pas ce test. je le note au cas où.

Chez moi, c'est l'inverse qui s'est passé, c'est pourquoi j'écris. Si vous obtenez trois réponses différentes sur un sujet la question est mal posée.

Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement. C'est confirmé par l'expérience.

Sujet très actuel.