Pentest applicatif : on teste votre site comme un attaquant
Le pentest est la seule méthode qui répond à une vraie question : un attaquant réel peut-il pénétrer votre application ? On teste manuellement contre l'OWASP Top 10, on documente avec preuves et score CVSS.
Le périmètre de l'audit
OWASP Top 10
Les catégories de risques du référentiel OWASP, des contrôles d'accès défaillants aux composants vulnérables, testées une à une.
Injection SQL
Chaque paramètre qui atteint la base de données est testé pour vérifier qu'un attaquant ne peut ni lire ni modifier vos données.
XSS
Recherche des champs qui renvoient du contenu non filtré et permettraient d'exécuter un script dans le navigateur de vos utilisateurs.
CSRF
Vérification que les actions sensibles (paiement, changement de mot de passe) ne peuvent pas être déclenchées depuis un autre site.
Auth & sessions
Robustesse de la connexion, de la réinitialisation de mot de passe, de la double authentification et de l'expiration des sessions.
Logique métier
Contournement des règles propres à votre application : prix modifiés, étapes sautées, accès aux données d'un autre client.
Upload de fichiers
Contrôle du type, de la taille et du stockage des fichiers envoyés, pour qu'aucun fichier exécutable n'atteigne le serveur.
APIs exposées
Inventaire des routes d'API accessibles, de leur authentification et des données qu'elles renvoient sans le vouloir.
Prix fixe
4500 € HT
3 à 5 jours · rapport CVSS + preuves · restitution incluse. Devis ferme avant démarrage.
Prix fixe, résultat clair
01
Cadrage
Un appel de 30 minutes : votre contexte, vos outils, vos obligations. On fixe le périmètre exact de l'audit.
02
Analyse
L'audit est réalisé par un technicien, pas par un outil en ligne. On teste, on inspecte, on vérifie.
03
Rapport
rapport CVSS + preuves : constats, risques priorisés, remédiations chiffrées et plan d'action.
04
Restitution
Session d'1 h pour expliquer le rapport sans jargon et décider des corrections.
Questions fréquentes
Différence entre analyse de vulnérabilités et pentest ?
Le scanner liste des dysfonctionnements. Le pentest valide : telle injection fonctionne sur votre serveur, tel contournement est réel. Le rapport n'est pas une liste, c'est une preuve d'exploitation avec impact concret.
Faut-il prévoir une coupure ?
Non. Le pentest est réalisé sans interruption de service et sans injecter de données réelles. On privilégie l'environnement de test quand il existe.
Pouvez-vous tester une application interne ?
Oui. On ajuste le périmètre : back-office, API, applications mobiles. Le test peut intégrer un mode authentifié pour simuler un utilisateur connecté.
Ça modifie mes obligations légales ?
Le rapport peut servir de preuve de diligence pour vos contrats clients et votre conformité NIS2 : il documente les moyens engagés pour sécuriser votre produit.
Nicolas Pivaut · Fondateur de WebSentinel, expert WordPress et PrestaShop
Dans le web depuis 2007, Nicolas a fondé WebSentinel en 2015. Il développe, maintient et sécurise lui-même des sites WordPress et PrestaShop pour des TPE, PME et e-commerçants, et intervient aussi sur les serveurs et la cybersécurité.
Faites-vous tester avant qu'un autre le fasse
Pentest applicatif 4 500 € HT, méthodologie OWASP, rapport CVSS avec preuves d'exploitation, restitution détaillée sous 3 à 5 jours.
Demander mon devis