L'agence nous propose un pentest web, quelle est la différence avec un test d'intrusion standard et est-ce utile pour un petit site ?

Le test réseau cherche un port SSH ouvert ou un noyau Linux pas à jour. Le web pentest scrute les injections SQL dans le code, les failles XSS et les problèmes de fixation de session. Si votre portail repose sur un développement sur mesure, les failles logiques laissées par les développeurs ne se verront qu'avec un pentest web.

On a payé 190.000 RUB l'an dernier pour tester notre système B2B. Côté serveur, tout était nickel, mais le test web a révélé une faille critique de droits où les distributeurs pouvaient consulter les relevés de compteurs de leurs concurrents. Vu l'impact sur notre réputation, ça valait largement l'investissement.

Vous stockez des coordonnées bancaires sur le site ou les commandes passent juste sur le compte client ? Et votre portail revendeur, c'est une solution standard ou du sur-mesure codé de zéro ? Ces éléments changent totalement la donne sur la nécessité du test.

Avant de signer le devis, demandez leur référentiel méthodologique et sous quelles normes le rapport sera rédigé. S'ils se contentent de lancer un scanner automatique et d'imprimer le rapport, vos 240.000 RUB partent à la poubelle ; s'ils cherchent manuellement les failles logiques métier, là ça vaut le coup d'en discuter.

Sur le marché, plein de boîtes de sécu lancent un scanner automatique pendant deux heures et te revendent le PDF de 50 pages en faisant passer ça pour un pentest. Si le devis ne mentionne pas explicitement de « test manuel de la logique métier » ne payez surtout pas.

l'agence a raison malheureusement un test reseau c pas un pentest web. si les revendeurs ont des tarifs speciaux et qu'un gars pique les prix d'un autre t'es vraiment dans la merde. reduisez le perimetre pour negocier le prix mais zappez pas le test completement.

Les bases de données B2B contiennent des accords clients relevant du secret des affaires. Avant de recourir à une prestation de pentest web, il est indispensable, pour votre sécurité juridique, de signer un accord de confidentialité exhaustif et de consigner par protocole que les tests seront effectués en dehors des heures d'ouverture opérationnelles.

Je me pose aussi la question.

Merci beaucoup, cela m'a été très utile.

Nous avons vécu presque la même chose l'année dernière. Si vous grondez les fausses alertes, plus personne ne signalera rien.

Bien sûr cela change si votre situation est différente.

je vais expliquer comment c'est fait en pratique. ce que tout le monde fait ne signifie pas que c'est la bonne chose.

absollument puis bref si j'ajoute quelque chose : Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

bien sûr, cela change si votre situation est différente.

La réponse ci-dessus va droit au but. Prendre une mesure sans faire d'inventaire, c'est laisser une porte ouverte sans le savoir.

Voilà, désolé si je me suis étendu.

Je vais résumer ce qui a été dit jusqu'ici. Prendre une mesure sans faire d'inventaire, c'est laisser une porte ouverte sans le savoir.

Bien sûr cela change si votre situation est différente.

Je ne savais pas ça.

Je suis d'accord en partie, pas en partie. Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

Je le note au cas où.

J'ai travaillé longtemps sur ce sujet. Les gens défendent l'habitude, pas le processus. La résistance vient de là.

Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle. C'est confirmé par l'expérience.

Ce conseil ne convient pas à tout le monde, je pense. Si vous grondez les fausses alertes plus personne ne signalera rien.

Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test. genre corrigez-moi si je me trompe.