Test d'intrusion de votre site, application ou API
J'attaque votre système comme le ferait un attaquant réel, dans un cadre signé. Vous voyez ce qui tient, ce qui cède, et comment corriger.
Ce n'est pas la même chose
Un outil automatique liste les failles connues, sans vérifier si elles sont réellement exploitables.
J'essaie d'exploiter ces failles et de les enchaîner, pour vous montrer jusqu'où un attaquant irait.
Ce que je peux tester
{{ s.title }}
{{ s.desc }}
Boîte noire, grise ou blanche
Ce que je sais de votre système au départ. Nous le choisissons ensemble au cadrage.
Boîte noire
Je pars de zéro, comme un attaquant extérieur sans information.
Boîte grise
J'ai un compte utilisateur, comme un client ou un salarié.
Boîte blanche
J'ai accès au code et à la documentation, pour aller au plus profond.
Rien ne se fait sans votre signature
Sans autorisation écrite, un test d'intrusion est une infraction pénale. Je travaille donc toujours dans ce cadre :
Un site WordPress, deux constats
Un site vitrine d'apparence banale. En quelques minutes, deux points ressortent.
Version PHP en fin de vie
PHP (le langage du serveur web) 7.4 ne reçoit plus de correctifs de sécurité depuis novembre 2022. Correction : passer à une version supportée.
Liste des utilisateurs exposée
L'API REST de WordPress donne les identifiants des comptes. Un attaquant n'a plus qu'à deviner le mot de passe. Correction : restreindre l'accès et activer la double vérification.
Pour un site vitrine en boîte noire. Le prix dépend du périmètre et du niveau d'information. Devis écrit sous 48 h.