Sécurité offensive
Gouvernance & conformité
Protection des données
PentestsTests d’intrusion web
Sécurité offensive
Tests d’intrusion web
Repérez les failles avant qu’elles ne se transforment en incident. Portail client, back-office ou API publique : la plus petite erreur de logique peut exposer des données sensibles. Nos pentesters reproduisent les techniques actuelles – du XSS au contournement complet d’autorisation – et livrent un plan de remédiation clair, priorisé et chiffré.
Pourquoi réaliser un pentest web ?
Les scanners automatiques détectent les failles évidentes, mais ils passent à côté des enchaînements subtils : élévation de privilèges après changement de rôle, dérivation de workflow ou combinaison d’injections dans plusieurs modules. Un test mené par un auditeur expérimenté parcourt l’application comme le ferait un utilisateur – création de compte, parcours d’achat, appels API – puis vérifie la robustesse de vos contrôles d’accès et de vos journaux. Le rapport obtenu parle autant au COMEX qu’aux développeurs : il chiffre le risque, démontre l’impact et recommande les correctifs à mettre en place. Pour une revue de fond, voyez notre audit de sécurité d’une application web.
Notre méthodologie
La démarche suit le Web Security Testing Guide de l’OWASP : elle commence par la cartographie des points d’entrée, se poursuit par l’analyse des contrôles (authentification, session, logique métier), puis par l’exploitation manuelle qui confirme la criticité. L’impact est documenté pas à pas ; le rapport est remis sous format technique et exécutif. Toutes les actions sont horodatées et réalisées depuis nos plateformes hébergées en France.
Avant les tests
Cadrage
Contacts, objectifs, périmètre et planning, contraintes techniques ; fiche d’autorisation et mot de passe pour les échanges sécurisés.
Livrable : compte rendu de la réunion de lancement
Pendant les tests
Tests d’intrusion
Cartographie des points d’entrée applicatifs, contrôles d’authentification, de session et de logique métier, recherche de vulnérabilités, exploitation manuelle et preuves d’impact.
Après les tests
Synthèse
Synthèse managériale, schéma des principaux scénarios d’intrusion le cas échéant, plan d’action priorisé avec la charge de chaque recommandation, détail technique des vulnérabilités.
Livrable : rapport, support de restitution, procès-verbal de livraison
Une vulnérabilité critique découverte pendant les tests vous est signalée sans délai. En option, un contre-audit vérifie la correction des failles. Digitemis est qualifié PASSI LPM par l’ANSSI.
Cas d’usage courants
Portails B2B / B2C
Authentification, gestion de session, injections complexes et détournement de panier.
API REST & GraphQL
Contrôles d’accès horizontaux et verticaux, fuzzing d’endpoints, injections dans requêtes composites.
Back-offices & CMS
Mauvaises configurations, plugins vulnérables, escalade de rôle, exfiltration de données.
Ils nous font confiance
informations
Contactez-nous
Besoin d’un test d’intrusion web ? Remplissez le formulaire, nous reviendrons vers vous rapidement pour un premier échange.
Expertises liées
FAQ
Questions fréquentes
Si vous avez d’autres questions, n’hésitez pas à nous contacter directement !
Quelle est la durée moyenne d’un pentest web ?
De trois à huit jours ouvrés, selon la taille de l’application, le nombre de rôles et la profondeur souhaitée (boîte noire ou grise).
Testez-vous les API lors d’un pentest web ?
Oui. Le périmètre inclut habituellement les API REST ou GraphQL qui alimentent l’application, pour évaluer les contrôles d’accès et la robustesse des points d’accès.
La production risque-t-elle d’être affectée ?
Les scans sont limités en débit ; les exploitations intrusives sont programmées hors pics de trafic ou menées sur un environnement de recette.
Vos rapports sont-ils exploitables par nos développeurs ?
Chaque vulnérabilité est accompagnée d’une preuve d’exploitation pas à pas, d’une référence OWASP ou CWE et d’une recommandation de correctif prête à être intégrée au backlog.
cas client
Découvrez notre approche
cas client
