On nous demande de faire un test d'intrusion, c'est quoi et est-ce vraiment nécessaire ?

Le scan de vulnérabilités regarde votre système et dit : « la serrure de la porte est un vieux modèle ». Le test d'intrusion, lui, crochète la serrure, entre, essaie d'ouvrir le coffre-fort et met en preuve dans le rapport une fausse donnée récupérée à l'intérieur. C'est ce rapport avec preuves que veut votre client.

Qu'est-ce qui est écrit exactement dans le contrat de votre client ? Parfois ils veulent un pentest en boîte grise, parfois un simple test de réseau externe suffit. Ne demandez pas de devis avant d'avoir clarifié le type de test, vous risquez de payer pour des prestations hors périmètre.

On a eu une demande similaire l'année dernière. On a fait appel à un indépendant à Turin uniquement pour l'API externe et l'interface de connexion client. Il nous a facturé 3.200 EUR pour 3 jours de boulot, et le client a validé le rapport direct.

Sur le marché, y a plein de consultants qui lancent juste un scanner automatique sous l'étiquette « test d'intrusion » et revendent un PDF de 40 pages au client. Quand vous demandez un devis, exigez toujours un exemple de rapport et demandez quelle méthodologie manuelle ils vont suivre, ne payez pas pour du vent.

Ne signez pas de devis tout de suite. Posez-vous d'abord avec votre admin système pour rédiger un document de cadrage : combien de pages statiques, combien de formulaires dynamiques, combien d'endpoints API à tester ? Donnez cette liste à trois prestataires différents, vous verrez les prix baisser.

Il est juridiquement indispensable de signer un accord de confidentialité (NDA) rigoureux avec le prestataire et de fixer par écrit des plages horaires de test afin de ne pas perturber votre activité.

nous aussi au début on croyait que c'était une dépense inutile mais le rapport a montré qu'on pouvait accéder au panneau de compta sans autorisation... ça fait mal au budget c'est sûr mais c'est mieux que de perdre un client ou de se faire voler des données.

Mes doutes sont levés merci.

Absolument. Si j'ajoute quelque chose : Ne comptez pas sur une seule mesure de sécurité ; allez par couches.

Ce que tout le monde fait ne signifie pas que c'est la bonne chose. Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

C'est noté, merci.

Vous avez raison. Si c'est une première, commencez petit, l'échelle viendra plus tard.

Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion. Si vous avez des questions, écrivez-moi, je répondrai au mieux.

C'est une bonne idée d'avoir ouvert ce sujet.

Je suis intéressé. Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger.

J'espère que cela vous sera utile.

Sujet très actuel.

Beau travail.

Séparons les concepts, ils sont souvent confondus. Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

J'espère que cela vous sera utile.

cette appoche a un coût, dont on ne parle pas et avant de décider, regardez quelles données vous avez en main.

je suis ausi curieux de savoir si d'autres font autrement.

Il y a un piège ici, je ne pouvais pas ne pas le mentionner. Commencez par un petit test, ne vous engagez pas sur tout d'un coup.

Si la double authentification est activée, un mot de passe volé seul ne suffit pas. Bon courage.