On essaie de nous vendre un "pentest" — c'est quoi, c'est vraiment utile à notre échelle ?

Ne cédez pas à la panique créée par les commerciaux. Le pentest est un audit très utile, mais les boîtes qui vous disent « si vous ne signez pas tout de suite, vous allez couler » font rarement du bon boulot. Définissez d'abord vos réels besoins au lieu d'accepter leur package les yeux fermés.

Il faut bien distinguer le scan automatique de vulnérabilités et le véritable test d'intrusion. L'outil automatique cherche des failles déjà répertoriées mais ne voit pas les erreurs de logique métier. Par exemple, changer l'ID d'une commande de 105 à 106 pour accéder à la facture d'un autre client, seul un humain lors d'un test manuel le détectera.

L'année dernière, on a payé 40.000 TL pour tester un espace client similaire. L'audit a révélé 2 failles d'autorisation critiques que notre dev a patchées en deux jours. Si on s'était fait pirater, nos distributeurs auraient pu accéder aux tarifs confidentiels des concurrents. Ça valait largement l'investissement.

on a recu le meme genre de mail on a refuse et demande a notre dev de faire un scan de base avec des outils open source, ca depanne pour linstant mais si vs avez le budget c sur que passer par un pro c un autre niveau.

Regardez bien les références de la boîte qui vous demande 60.000 TL. Beaucoup d'agences se contentent de faire tourner pendant deux heures des outils gratuits chopés sur le net pour vous sortir un rapport générique de 80 pages. S'il n'y a pas d'analyse concrète du code de votre site ou de vos flux de travail dans le rapport, c'est de l'argent jeté par les fenêtres.

En évaluant le devis, clarifiez bien ces trois points : 1) Le test sera-t-il effectué en boîte grise (grey box), c'est-à-dire en leur fournissant un compte utilisateur pour les tests ? 2) Y a-t-il un risque d'interruption de service du site pendant le test ? 3) Le rapport final a-t-il valeur de document d'audit indépendant valable dans le cadre du Türk Ticaret Kanunu ou des procédures KVKK ?

Ne signez pas de contrat tout de suite. Demandez une réunion de cadrage (scoping) à au moins deux autres entreprises de cybersécurité. Demandez un devis uniquement pour le panel B2B en leur fournissant deux comptes de test revendeurs, et mettez l'infrastructure serveur à part.

Je peux poser une question : pendant que ce test est effectué, notre système de commande est coupé pendant un moment ou bien les revendeurs peuvent continuer à passer commande en arrière-plan ?

J'ai vécu la même chose. Prendre une mesure sans faire d'inventaire, c'est laisser une porte ouverte sans le savoir.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

On en parle beaucoup, mais chez nous, cela ne s'est jamais passé ainsi. Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Si j'ai bien compris, vous dites que : Prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Le point le plus souvent négligé concernant cest quoi un service de pentest est : Le vrai problème n'est pas le chiffre mais la base sur laquelle il est calculé.

Si vous avez des questions, écrivez-moi, je répondrai au mieux.

Pourriez-vous préciser un peu ? Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger.

Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production. À votre place, j'irais par cette voie.

Merci d'avoir écrit cela c'est exactement ça. Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

Nous avons vécu presque la même chose l'année dernière. Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

J'espère que cela vous sera utile.

Je me permets une petite mise en garde. Quand on décide sans mesurer, on revient toujours au même point.

À votre place, j'irais par cette voie.

Je suis intéressé.

Ma question va paraître un peu novice, désolé d'avance. Prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.

Quand on essaie de tout changer en même temps, rien ne prend.