On nous demande de faire un pentest pour notre site, qu'est-ce que ça veut dire et est-ce vraiment nécessaire ?

Un pentest s'effectue généralement selon trois approches : Black Box (aucune info sur le système), White Box (accès au code source et au serveur) et Gray Box (avec des identifiants utilisateur basiques). Pour un site e-commerce, le Gray Box est le plus pertinent : il simule à la fois un attaquant externe et un client dont on élèverait les privilèges.

On a fait faire un test de 3 jours il y a deux mois sur notre site de taille comparable, on a payé 38 000 TL. On ne stockait pas les cartes, mais ils ont trouvé une faille d'authentification sur l'API. Un simple utilisateur pouvait voir l'historique de commande et l'adresse de tous les autres clients. Rien que pour corriger ça, l'argent était largement amorti.

Demandez impérativement le périmètre exact à l'entreprise qui vous facture 45 000 TL. Sur le marché beaucoup lancent juste un outil automatique et vous livrent l'export brut deux heures plus tard en guise de rapport. Font-ils des tests manuels ? Combien d'hommes/jours sont prévus ? L'auditeur a-t-il des certifications reconnues ? Exigez tout ça par écrit.

Si votre partenaire exige le rapport, impossible d'y couper. Pour faire baisser le devis, réduisez le périmètre : 1) Limitez le test à l'application web seule en excluant le réseau interne de l'entreprise, 2) Restreignez la durée à 2 jours ouvrés, 3) Faites inscrire au contrat un contre-test gratuit (re-test) une fois les failles corrigées.

L'année dernière avec notre petite boutique de bijoux, on se disait « qui va s'intéresser à nous ». Un jour, ils sont passés par l'espace client pour infiltrer la base ont effacé toutes les adresses de livraison et ont demandé une rançon. Zéro vente pendant deux semaines et la restauration des sauvegardes nous a coûté bien plus cher qu'un test d'intrusion.

utiliser un tpe virtuel externe protege seulement les cartes. si qqn vole les adresses et numeros de tel de milliers de personnes dans votre bdd, les amendes kvkk feront bien plus mal que 45 mille livres.

Votre partenaire demande-t-il un audit indépendant classique ou exige-t-il un pentest certifié niveau A ou B par le TSE ? S'il y a une exigence d'accréditation précise dans le cahier des charges, ne payez pas des prestataires douteux au risque de voir le rapport rejeté.

Pas d'inquiétude pour une première fois le déroulement n'a rien d'insurmontable. Votre site ne va pas crasher pendant les tests ; les boîtes de sécu travaillent généralement sur un clone du site ou tard la nuit lors des creux de trafic de manière très encadrée.

Chez moi, c'est l'inverse qui s'est passé c'est pourquoi j'écris. Ne comptez pas sur une seule mesure de sécurité ; allez par couches.

C'est mon avis, je ne l'écris pas comme une vérité absolue.

Vous avez raison.

je vais raconter ce qui m'est arrivé, ça pourrait vous servir. le temps que vous mettez à détecter un problème détermine directement son coût.

bien sûr cela change si votre situation est différente.

Je me pose aussi la question. N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion. C'est confirmé par l'expérience.

Merci, c'était exactement la réponse que je cherchais.

Chez nous aussi.

C'est globalement vrai, mais il manque un point. Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

À votre place, j'irais par cette voie.

je vous conseille de ne pas vous presser mais prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.

c'est mon avis, je ne l'écris pas comme une vérrité absolue.

Chez moi, c'est l'inverse qui s'est passé, c'est pourquoi j'écris. Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

C'est confirmé par l'expérience.

Je ne savais pas ça.