Tests d’authentification et de sessions
Tester connexion, MFA, réinitialisation des mots de passe, sessions, cookies, jetons, récupération de comptes et abus d’identité.
Tests d’intrusion
Tests de sécurité des applications web
Services de tests d’intrusion des applications web
Nous testons applications web, portails, tableaux de bord et plateformes SaaS pour détecter les failles exploitables d’authentification, d’autorisation, de logique métier, de sessions, d’API et de flux de données.
Surface d’attaque des applications web
Testez les chemins ignorés par les scanners
Les risques web se cachent dans les accès, abus de processus, sessions et logique métier. Nous combinons outils et validation manuelle pour confirmer l’exploitabilité et prioriser les corrections.
Autorisations et contrôle d’accès
Vérifier accès aux objets, droits des rôles, frontières des locataires, élévation de privilèges, IDOR et exposition des processus administratifs.
Tests des entrées et flux de données
Évaluer injection, téléversement, XSS stocké et réfléchi, SSRF, désérialisation, lacunes de validation et fuites de données.
Abus de logique métier
Tester les processus exploitables manuellement : commandes, validations, invitations, limites, crédits, remboursements et états des comptes.
Couverture alignée sur OWASP
Tests OWASP Top 10, contrôles ASVS, authentification, autorisations, injection et exposition de données sensibles.
API et intégrations
Examiner trafic navigateur-API, points backend, intégrations tierces, jetons, limites de requêtes et frontières des données.
Rapports pour les développeurs
Rapports avec preuves, URL, charges pertinentes, reproduction, impact, recommandations correctives et contre-tests.
Déroulement du test
Du recensement de l’application aux correctifs vérifiés
01
Définir périmètre, environnements, rôles, comptes de test, règles de sécurité, créneaux et communication.
02
Recenser parcours, rôles, points de terminaison, objets de données, authentification, intégrations et processus à haut risque.
03
Tester risques OWASP Top 10, contrôle d’accès, logique métier, sessions, appels API et exposition de données sensibles.
04
Hiérarchiser les failles confirmées avec preuves, URL affectées, reproduction, impact métier et mesures correctives.
05
Retester les correctifs et documenter les risques résiduels pour clôturer les failles avec les équipes produit et ingénierie.
Domaines des tests d’intrusion
Tests d’intrusion associés
Découvrez nos évaluations spécialisées de hacking éthique pour protéger chaque couche de la surface d’attaque de votre entreprise.
REST et GraphQL
Services de tests d’intrusion des API
Évaluer BOLA, abus de jetons, contournement de schémas, assignation de masse et défauts d’autorisation backend.
Voir le détail du service
Infrastructure
Services de tests d’intrusion réseau
Examiner réseaux internes et externes, services exposés, déplacements latéraux et périmètres mal configurés.
Voir le détail du service
AWS / Azure / GCP
Services de tests d’intrusion cloud
Détecter erreurs IAM, buckets exposés, sorties de conteneurs, élévations de privilèges et risques de chaîne d’approvisionnement cloud.
Voir le détail du service
iOS et Android
Services de tests d’intrusion des applications mobiles
Analyser binaires, stockage non sécurisé, échanges API, authentification et protections contre la rétro-ingénierie.
Voir le détail du service
Périmètre
Services de tests d’intrusion externes
Évaluer les infrastructures Internet du point de vue d’un attaquant non fiable sur le réseau public.
Voir le détail du service
Active Directory
Services de tests d’intrusion internes
Simuler menaces internes et postes compromis pour examiner défense en profondeur, segmentation et contrôles du domaine.
Voir le détail du service
Facteur humain
Services de tests d’intrusion par ingénierie sociale
Tester la défense humaine contre phishing, vol d’identifiants, hameçonnage ciblé et usurpation.
Voir le détail du service
Wi-Fi et radiofréquences
Services de tests d’intrusion sans fil
Auditer Wi-Fi d’entreprise WPA2/WPA3, détection des points illégitimes, portails captifs et périmètres sans fil.
Voir le détail du service
Sans connaissance interne
Services de tests d’intrusion en boîte noire
Simuler un attaquant réel sans information interne pour révéler ce qui est découvrable et exploitable de l’extérieur.
Voir le détail du service
Accès authentifié
Services de tests d’intrusion en boîte grise
Utiliser des comptes utilisateurs pour examiner élévation de privilèges, accès horizontaux illicites et logique métier.
Voir le détail du service
Accès complet
Services de tests d’intrusion en boîte blanche
Évaluer architecture, documentation et code source pour une couverture approfondie des vulnérabilités.
Voir le détail du service
Besoin de tester une application web avant son lancement ?
Nous pouvons cibler votre SaaS, portail, tableau de bord, interface connectée à une API ou parcours clients les plus sensibles.
Lancer un test d’intrusion web