Votre prochain gros contrat audit SOC 2 audit ISO 27001 ne devrait pas être bloqué par un test d’intrusion.

Un rapport de test d’intrusion et une lettre d’attestation signée. Le rapport contient une synthèse pour la direction, la liste de chaque classe de test menée et son résultat, puis chaque vulnérabilité évaluée par criticité et par score CVSS, avec des actions détaillées et priorisées pour la corriger, adaptées à votre stack. La lettre d’attestation est la page que vous transmettez à un client ou à un auditeur, certifiant qu’un test d’intrusion a été réalisé.

L’appel de cadrage dure trente minutes et peut être réservé le jour même. Le devis part dans les 24 heures qui suivent. Les tests démarrent sous 48 heures après la signature de l’autorisation et la réception des prérequis, durent 2 à 5 jours selon le périmètre, et le rapport et la lettre d’attestation arrivent dans les 24 heures après le dernier test.

Le prix dépend du périmètre à tester, validé ensemble pendant l’appel de cadrage. Un devis vous est envoyé dans les 24 heures qui suivent cet appel. Une remise de 20 % est appliquée à chaque renouvellement, parce qu’une certification comme un questionnaire de sécurité réclame un rapport de pentest datant de moins d’un an.

PCI DSS l’exige explicitement, à l’exigence 11.4. ISO 27001 ne nomme pas le test d’intrusion, mais l’Annexe A impose d’identifier les vulnérabilités techniques : certains auditeurs ISO l’exigent donc. SOC 2 ne l’impose pas non plus, mais le test d’intrusion y figure comme point d’attention. En pratique, ce sont surtout les questionnaires de sécurité de vos clients qui le réclament, et le rapport ou la lettre d’attestation sont exactement ce qu’ils exigent de recevoir.

L’URL de l’environnement à tester, idéalement un environnement de recette plutôt que la production, et des comptes de test dédiés au pentest, un par rôle applicatif. Rien d’autre de votre côté.

Non. Les tests sont en boîte noire ou en boîte grise par défaut : vous fournissez des comptes de test, l’URL de l’application, et rien d’autre. L’accès au code n’intervient que si vous demandez explicitement un audit de code, c’est-à-dire des tests en mode boîte blanche.

Applications web, API, serveurs MCP, agents LLM, et toute intégration derrière : fournisseurs d’identité, services cloud, plateformes externes. Côté vulnérabilités, tout est testé exhaustivement : failles de contrôle d’accès (IDOR, BOLA), élévation de privilèges, injections de tout type (SQL, XSS, RCE, LFI, RFI, LDAP, XXE), authentification et gestion de session, SSRF, désérialisation non sécurisée, exposition de données, et pour les agents LLM l’injection de prompt ainsi que toutes les catégories précédentes atteintes au travers de l’agent ou de ses outils MCP. La couverture suit l’OWASP Top 10 Web, l’OWASP Top 10 LLM et l’OWASP Web Security Testing Guide.

Les tests d’intrusion ne ciblent généralement pas la production, mais un environnement de recette, de qualification ou de développement. Aucun test de déni de service n’est conduit, sauf demande explicite de votre part. La fenêtre de test est convenue à l’avance, votre pentester reste joignable à tout moment pendant les tests, et chaque requête part d’une adresse IP fixe communiquée au préalable pour que vous puissiez identifier l’activité dans vos systèmes et leurs journaux. Un constat critique vous est signalé dès qu’il est confirmé, pas à la fin.

Un pentester certifié OSCP, qui est aussi votre interlocuteur du lancement jusqu’à votre validation du rapport. C’est la même personne qui rédige les livrables et qui vous accompagne jusqu’à la remédiation.

Les données de la mission sont chiffrées au repos pendant toute sa durée et supprimées chez nous à la fin du test. Les livrables, les identifiants et les autres éléments sensibles sont échangés de façon sécurisée, et nous vous rappelons à la fin du pentest de supprimer les comptes de test que vous avez créés.