On me parle de « test d'intrusion » : est-ce vraiment utile à notre échelle, et à quoi ça sert ?

Qu'une agence fasse un pentest sur son propre code, ça n'a aucun sens. On ne peut pas s'attendre à ce qu'ils trouvent et signalent leurs propres erreurs en toute neutralité. Si vous devez faire ce test, demandez un devis à une entreprise spécialisée uniquement dans la cybersécurité, indépendante de celle qui a développé le portail.

Lors d'un pentest, on vérifie surtout les failles de type « Broken Object Level Authorization », c'est-à-dire l'accès non autorisé aux données. Par exemple : est-ce que le revendeur A, une fois connecté, peut voir la facture du revendeur B en modifiant simplement le numéro de facture dans l'URL de 101 à 102 ? Un pare-feu ne verra jamais ça, seul un test d'intrusion permet de le détecter.

L'année dernière, pour un portail similaire avec une vingtaine de revendeurs, nous avons payé 35.000 TL à un prestataire indépendant. Le rapport a révélé que deux distributeurs pouvaient voir les remises accordées à l'autre. Si cette faille avait été ébruitée, notre réputation commerciale en aurait pris un coup. Ça valait largement l'investissement.

l'agence va sûrement lancer un outil automatique et vous sortir un pdf. demandez le cahier des charges du test et vérifiez s'il y a un nombre d'heures de tests manuels précisé dans le devis.

edit : j'ai écrit depuis mon téléphone, désolé pour les fautes.

Encaissez-vous des paiements par carte bancaire sur le portail ? Si vous stockez des coordonnées bancaires ou si les données de carte transitent par votre propre serveur sans passer par une page de paiement externe sécurisée le pentest n'est pas un luxe, c'est une obligation directe.

Avant d'accepter le devis, posez cette question à l'agence : « Le test sera-t-il en boîte grise ou en boîte noire, et une contre-visite de validation après correction des failles est-elle incluse dans le prix ? » Sans test de vérification, le rapport ne servira à rien.

Il y a deux ans, le portail d'un grossiste en textile que je connais a été piraté : tout le fichier client et la grille tarifaire ont été vendus à un concurrent. Ni les sauvegardes ni le SSL n'ont pu empêcher ça. Depuis, on fait un contrôle de sécurité systématique à chaque mise à jour majeure.

J'aimerais poser une question. Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard. Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

enregistré puis bref les gens défendent l'habitude pas le processus. la résistance vient de là.

Résumé rapide pour les nouveaux : Une sauvegarde non testée n'est pas une sauvegarde.

Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger. Bon courage.

Je suis d'accord j'aimerais même souligner ce point. Tous ceux qui se pressent sur test d'intrusion c'est quoi se heurtent au même obstacle.

Voilà, désolé si je me suis étendu.

Pensez-vous que cela fonctionne à toutes les échelles ? Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

Je suis aussi curieux de savoir si d'autres font autrement.

La discussion part dans tous les sens je recentre. Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Je ne savais pas ça.

On en parle beaucoup, mais chez nous, cela ne s'est jamais passé ainsi. Une sauvegarde non testée n'est pas une sauvegarde.

À votre place, j'irais par cette voie.

C'est une bonne idée d'avoir ouvert ce sujet.

Beau travail. Si c'est une première commencez petit l'échelle viendra plus tard.

À votre place, j'irais par cette voie.

J'aimerais poser une question. Les décisions hâtives finissent par être corrigées six mois plus tard.

Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée. J'espère que cela vous sera utile.