Authentification et jetons
Tester OAuth, OIDC, JWT, les clés API, l’expiration et le renouvellement des jetons, la liaison des sessions et la récupération des comptes.
Tests d’intrusion
Tests de sécurité des API
Services de tests d’intrusion des API
Nous testons les API REST, GraphQL et backend pour détecter les failles exploitables dans l’authentification, les autorisations, les jetons, l’accès aux objets, les schémas, les limites de requêtes et les flux de données sensibles.
Surface d’attaque des API
Éprouvez les circuits de données de vos produits
Les failles API se cachent souvent dans les autorisations, l’accès aux objets, les jetons, les schémas et la logique métier. Nous vérifions leur exploitabilité sur les points de terminaison et donnons aux équipes backend des mesures correctives précises.
Autorisations et accès aux objets
Vérifier BOLA, BFLA, IDOR, les limites des rôles, l’isolation des locataires, les droits sur les objets et l’élévation de privilèges.
Validation des entrées, schémas et données
Évaluer l’injection, l’assignation de masse, le contournement des schémas, la confusion de types, les téléversements, les abus GraphQL et l’exposition de données sensibles.
Limites de requêtes et logique métier
Tester la limitation du débit, le rejeu, les abus de processus, les changements d’état, les paiements, les validations, l’énumération et la résistance aux abus automatisés.
Couverture REST et GraphQL
Tests des API REST et GraphQL, des services backend, des intégrations partenaires, des webhooks et des backends mobiles.
Sécurité API selon OWASP
Vérifier BOLA, l’authentification défaillante, l’exposition excessive de données, l’assignation de masse, l’injection, SSRF et la consommation non sécurisée d’API.
Rapports par point de terminaison
Les rapports précisent les preuves, les points affectés, les charges de test pertinentes, les rôles, l’impact, les corrections et l’accompagnement des contre-tests.
Déroulement du test
Du recensement des points de terminaison aux correctifs vérifiés
01
Définir le périmètre, les environnements API, l’authentification, les comptes de test, les rôles, la documentation, les limites de requêtes et les règles d’intervention.
02
Recenser les points de terminaison, schémas, objets, rôles, flux de données, parcours d’authentification, intégrations et processus à haut risque.
03
Tester les risques OWASP API, les autorisations, les jetons, la validation des entrées, les limites de requêtes, l’exposition de données et les abus métier.
04
Hiérarchiser les failles confirmées avec preuves, points affectés, charges pertinentes, impact et mesures correctives.
05
Retester les correctifs et documenter les risques résiduels pour permettre aux équipes backend et sécurité de clôturer les vulnérabilités avec confiance.
Domaines des tests d’intrusion
Tests d’intrusion associés
Découvrez nos évaluations spécialisées de hacking éthique pour protéger chaque couche de la surface d’attaque de votre entreprise.
Web et SaaS
Services de tests d’intrusion des applications web
Détecter risques OWASP Top 10, contournement d’authentification, IDOR, failles métier et fuites de données web.
Voir le détail du service
Infrastructure
Services de tests d’intrusion réseau
Examiner réseaux internes et externes, services exposés, déplacements latéraux et périmètres mal configurés.
Voir le détail du service
AWS / Azure / GCP
Services de tests d’intrusion cloud
Détecter erreurs IAM, buckets exposés, sorties de conteneurs, élévations de privilèges et risques de chaîne d’approvisionnement cloud.
Voir le détail du service
iOS et Android
Services de tests d’intrusion des applications mobiles
Analyser binaires, stockage non sécurisé, échanges API, authentification et protections contre la rétro-ingénierie.
Voir le détail du service
Périmètre
Services de tests d’intrusion externes
Évaluer les infrastructures Internet du point de vue d’un attaquant non fiable sur le réseau public.
Voir le détail du service
Active Directory
Services de tests d’intrusion internes
Simuler menaces internes et postes compromis pour examiner défense en profondeur, segmentation et contrôles du domaine.
Voir le détail du service
Facteur humain
Services de tests d’intrusion par ingénierie sociale
Tester la défense humaine contre phishing, vol d’identifiants, hameçonnage ciblé et usurpation.
Voir le détail du service
Wi-Fi et radiofréquences
Services de tests d’intrusion sans fil
Auditer Wi-Fi d’entreprise WPA2/WPA3, détection des points illégitimes, portails captifs et périmètres sans fil.
Voir le détail du service
Sans connaissance interne
Services de tests d’intrusion en boîte noire
Simuler un attaquant réel sans information interne pour révéler ce qui est découvrable et exploitable de l’extérieur.
Voir le détail du service
Accès authentifié
Services de tests d’intrusion en boîte grise
Utiliser des comptes utilisateurs pour examiner élévation de privilèges, accès horizontaux illicites et logique métier.
Voir le détail du service
Accès complet
Services de tests d’intrusion en boîte blanche
Évaluer architecture, documentation et code source pour une couverture approfondie des vulnérabilités.
Voir le détail du service
Vos API doivent-elles être testées avant leur lancement ?
Nous pouvons cibler vos services REST, votre couche GraphQL, votre backend mobile, vos intégrations partenaires ou vos flux de données les plus sensibles.
Lancer un test d’intrusion API