Questions fréquentes

Un test d’intrusion, ou pentest, est une évaluation de sécurité au cours de laquelle un expert reproduit, dans un cadre autorisé et maîtrisé, les techniques d’un attaquant. Il permet d’identifier les vulnérabilités réellement exploitables, d’en mesurer l’impact et de prioriser leur correction.

Un scan automatisé détecte des vulnérabilités connues à partir de signatures. Il produit souvent de nombreux résultats, dont des faux positifs, et ignore la logique propre à votre environnement. Un pentest est mené par un expert : il valide chaque vulnérabilité, enchaîne des faiblesses entre elles et évalue leur impact réel. Les deux approches sont complémentaires.

La durée dépend du périmètre : nombre d’applications ou d’adresses IP, taille du réseau, profondeur attendue. Un test ciblé peut tenir en quelques jours ; un périmètre étendu en demande davantage. La durée est estimée précisément lors du cadrage et figure dans la proposition.

En boîte noire, l’auditeur ne dispose d’aucune information préalable, comme un attaquant externe. En boîte grise, il dispose d’un compte ou d’un accès standard, ce qui reproduit un utilisateur ou un poste compromis. En boîte blanche, il a accès à la documentation, voire au code source : la couverture est plus complète pour un même temps de test. Le choix dépend de vos objectifs.

Un rapport comprenant une synthèse exécutive, l’analyse des risques, le détail de chaque vulnérabilité avec ses preuves techniques, les recommandations de correction et leur priorisation, ainsi qu’un cyberscore global de A à E lorsqu’il est pertinent. Une réunion de restitution complète le rapport.

Les tests sont conduits de manière maîtrisée, sans action destructrice et dans les fenêtres convenues. Le risque zéro n’existe pas, notamment sur des systèmes anciens ou fragiles : ces systèmes sont identifiés au cadrage, et les tests sensibles peuvent être exclus ou planifiés sur des créneaux dédiés. Un contact d’urgence est défini de part et d’autre.

Définir l’objectif (conformité, mise en production, exigence d’un client, inquiétude précise), identifier le périmètre, prévenir les tiers concernés (hébergeur, infogérant), préparer les comptes et accès nécessaires, et désigner un interlocuteur disponible pendant les tests. Ces points sont passés en revue ensemble lors du cadrage.

Une réunion de restitution permet de présenter les résultats et de valider les priorités. Un accompagnement à la correction peut ensuite être proposé : réponses aux questions des équipes, validation des solutions envisagées, puis retest.

Oui. Après correction, les vulnérabilités identifiées peuvent être testées à nouveau afin de vérifier l’efficacité des corrections. Le rapport est alors mis à jour.

Non. Un test d’intrusion évalue un périmètre donné, à une date donnée et dans un temps défini. Il réduit fortement l’incertitude sur ce périmètre, mais aucun audit ne peut garantir l’absence totale de vulnérabilités. C’est pourquoi des tests réguliers sont recommandés, notamment après des changements importants.

CVE Consulting est une activité indépendante. La personne qui cadre la mission est celle qui réalise les tests, rédige le rapport et vous le présente : vous avez un seul interlocuteur, du premier échange au retest.

Le prix dépend du périmètre et du temps de test nécessaire, estimés lors du cadrage. Une proposition détaillée vous est remise avant tout engagement.

Les informations échangées et les résultats sont strictement confidentiels. Un accord de confidentialité peut être signé avant le cadrage, et les données techniques collectées pendant la mission sont limitées à ce qui est nécessaire.