Test d’intrusion applicatif : web et API
Les failles les plus graves d’une application ne sont pas toujours techniques : un utilisateur qui accède aux données d’un autre, un parcours qui contourne un paiement, une API qui en dit trop. Le test combine l’analyse des vulnérabilités classiques et celle de la logique propre à votre application.
- Pour
- CTO · Développement
- Livrables
- Rapport et restitution
- Interlocuteur
- V. Erudel, OSCP
En quoi consiste la prestation
L’application est testée avec différents profils (visiteur anonyme, utilisateur, administrateur) afin d’éprouver l’authentification, la gestion des sessions, le cloisonnement des droits et le traitement des données saisies. Les API font l’objet d’un examen dédié : authentification, autorisations par objet, exposition de données, limitation des requêtes.
Les tests sont essentiellement manuels. Les référentiels reconnus, comme ceux de l’OWASP, servent de grille de couverture ; le cœur du travail reste la compréhension du fonctionnement métier de votre application.
Objectifs
- Vérifier que chaque utilisateur n’accède qu’à ce qui lui est autorisé.
- Identifier les vulnérabilités exploitables : injections, contournements, fuites de données.
- Éprouver la logique métier de l’application.
- Donner à vos développeurs des corrections précises et reproductibles.
Ce qui peut être audité
Le périmètre exact est défini avec vous lors du cadrage, en fonction de vos objectifs et de vos contraintes.
- Applications web
- Sites, portails clients, extranets, back-offices, applications SaaS.
- API
- API REST et GraphQL, API mobiles, intégrations entre services.
- Authentification
- Connexion, SSO, double facteur, réinitialisation de mot de passe, sessions.
- Logique métier
- Parcours de commande, de paiement, de validation, de gestion des droits.
Déroulement de la mission
Chaque étape est convenue à l’avance. La méthodologie complète détaille ce que vous fournissez et ce que vous obtenez à chaque étape.
-
Cadrage
Fonctionnalités, profils d’utilisateurs, environnement de test, documentation disponible.
-
Préparation
Création des comptes de test, accès à l’environnement, revue de la documentation d’API.
-
Tests
Analyse manuelle par profil, validation des vulnérabilités et de leur impact.
-
Rapport
Vulnérabilités reproductibles, preuves, corrections adaptées à votre technologie.
-
Restitution
Échange avec les développeurs, puis retest des corrections si vous le souhaitez.
Livrables
- Synthèse exécutive
- Vulnérabilités détaillées : description, preuve, étapes de reproduction
- Score CVSS et priorité de correction
- Recommandations techniques adaptées à votre pile
- Retest des corrections, en option
Ce que vous y gagnez
- Vos développeurs reçoivent des failles reproductibles, pas des généralités.
- Les risques métier sont identifiés avant vos utilisateurs.
- Vous pouvez justifier le niveau de sécurité auprès de vos clients ou partenaires.
Questions sur cette prestation
Toutes les questions Faut-il tester en production ou en préproduction ?
Un environnement de préproduction représentatif est préférable : il permet des tests plus poussés sans risque pour vos utilisateurs. La production peut être testée avec des précautions définies au cadrage.
Avez-vous besoin du code source ?
Ce n’est pas obligatoire. L’accès au code ou à la documentation (approche en boîte blanche) permet toutefois une couverture plus complète pour un même temps de test.
Expertises liées
- Pentest externe Ce qu’un attaquant voit et peut exploiter depuis Internet : services exposés, accès distants, applications publiques.
- Audit d’infrastructure Configurations des systèmes, réseaux et environnements cloud : écarts, droits excessifs, durcissement.
- Formation Former vos équipes techniques aux méthodes d’attaque pour mieux concevoir, administrer et défendre.
Un projet de pentest applicatif ?
Décrivez votre contexte en quelques lignes : vous recevez une première réponse sous 24 heures ouvrées, puis une proposition détaillée après un échange de cadrage.