On nous a dit « faites un pentest web » — c'est quoi exactement, c'est indispensable pour notre site ?

quand on bosse avec de grands comptes on tombe malheureusement toujousr sur ce genre de blocages bureaucratiques standardisés. du coup ce n'est pas l'acheteur qui s'intéresse à vos meubles, c'est leur DSI qui impose cette check-list. pour remporter le marché vous n'aurez pas d'autre choix que de fournir ce document.

Correction : je me suis trompé sur le chiffre, c'était un peu plus bas.

On a eu exactement la même demande le mois dernier pour notre site vitrine de 8 pages. Le premier devis est tombé à 30.000 TL. On a restreint le périmètre à un seul nom de domaine et à des formulaires statiques, on s'en est tirés avec une facture de 12.000 TL pour deux jours de taf, on a rendu le rapport et le dossier a été validé.

Payer 25.000 TL de pentest pour un site statique sans paiement, c'est balancer l'argent par les fenêtres. Envoyez un courrier officiel au responsable achats de l'hôtel en expliquant qu'il n'y a ni base de données ni espace membres, juste un formulaire de contact basique. Avec un peu de chance, ils vous dispenseront du test.

En gros, le déroulement se fait comme suit : 1) Vous donnez l'adresse et l'architecture de votre site au prestataire de sécurité. 2) Les experts lancent des attaques ciblées de test. 3) Ils compilent les failles trouvées et les recommandations dans un rapport. 4) Votre hébergeur ou dev corrige les vulnérabilités, et vous transmettez le rapport final de validation au client.

Demandez impérativement au prestataire sous combien de jours le rapport est livré et si la contre-visite de validation après correction des failles est incluse dans le prix. Certaines boîtes n'hésitent pas à facturer le second passage en supplément.

si ya juste un formulaire de contact virez le et mettez une adresse mail directe à la place, demandez au client si ca vous évite de payer le pentest.

Si la marge sur le contrat avec l'hôtel couvre largement le coût du test, ne tergiversez pas et faites-le. Les grands groupes rechignent souvent à faire des exceptions sur leurs procédures de sécurité ; si vous insistez trop, ils risquent simplement de passer au fournisseur suivant.

Il y a une erreur fréquente à commettre en faisant cela. Le temps que vous mettez à détecter un problème détermine directement son coût.

Prendre une mesure sans faire d'inventaire, c'est laisser une porte ouverte sans le savoir. Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

C'est une bonne idée d'avoir ouvert ce sujet.

Il y a aussi un aspect mesure à considérer. Avant de décider, regardez quelles données vous avez en main.

C'est confirmé par l'expérience.

Chez nous ça s'est passé comme ça... franchement le vrai problème n'est pas le chiffre mais la base sur laquelle il est calculé.

À votre place, j'irais par cette voie.

Pourriez-vous préciser un peu ? Tout va bien les trois premiers mois, les problèmes arrivent au quatrième.

La plupart des pertes de temps s'accumulent sur les tâches en attente de validation. Corrigez-moi si je me trompe.

Merci de partager le résultat.

J'aurais une question, sans vouloir m'éloigner du sujet. Quand on essaie de tout changer en même temps, rien ne prend.

Chez moi, c'est l'inverse qui s'est passé, c'est pourquoi j'écris. Prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.

Voilà, désolé si je me suis étendu.

Je vous conseille de ne pas vous presser. Le temps que vous mettez à détecter un problème détermine directement son coût.

Chez nous, ça s'est passé comme ça. Une sauvegarde non testée n'est pas une sauvegarde.

Je suis aussi curieux de savoir si d'autres font autrement.

Vous avez raison, je suis aussi passé par là. Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

Je suis aussi curieux de savoir si d'autres font autrement.