- À partir de 3 500 € HT
- Autorisation écrite avant tout test
- Experts certifiés et validés
Fiche de faille
ExempleEspace client : accès aux factures d’autres clients
Gravité élevéeConstat
En modifiant un numéro dans l’adresse de la page, un client connecté peut afficher les factures d’un autre client.
Ce que vous risquez
Une fuite de données clients, à déclarer à la CNIL.
Correction recommandée
Vérifier côté serveur que chaque facture appartient bien au client connecté.
Illustration : chaque faille est décrite ainsi dans le rapport, avec sa preuve.
Vous lancez ou refaites un site marchand, un espace client ou une application.
Un client, un donneur d’ordre ou un appel d’offres vous demande un rapport de test d’intrusion.
Vous stockez des données sensibles accessibles depuis internet.
Votre audit a révélé des points faibles et vous voulez savoir s’ils sont vraiment exploitables.
Vous avez fait un changement important : nouveau serveur, passage au cloud, nouvel accès à distance.
Vous vous reconnaissez dans l’une de ces situations ?
Réserver un appelVotre site ou votre application
Site vitrine, site marchand, espace client, application web ou mobile.
Ce qui est visible depuis internet
Le test externe : tout ce qu’un pirate peut atteindre sans être chez vous.
Votre réseau interne
Le test interne : comme si un attaquant était déjà dans vos locaux ou sur un poste.
Votre Wi-Fi
Réseau des salariés et réseau invités : qui peut s’y connecter, et jusqu’où.
Trois façons de tester
Boîte noire
Sans aucune information
L’expert part de zéro, comme un pirate extérieur.
Boîte grise
Avec un compte utilisateur
L’expert se connecte comme un client ou un salarié.
Boîte blanche
Avec toutes les informations
Le test le plus complet, avec la documentation technique.
Nous vous conseillons la bonne formule lors de l’appel de découverte.
Appel de découverte
Nous définissons ensemble ce qui doit être testé en priorité.
Devis et autorisation
Vous signez une convention qui fixe le périmètre, les dates et les techniques autorisées.
Tests
Aux dates convenues, 3 à 12 jours selon le périmètre.
Rapport et restitution
Avec la direction et votre prestataire technique.
Contre-test (en option)
L’expert vérifie que les corrections fonctionnent.
Des tests encadrés
Aucun test destructif sans votre accord. Si une faille grave est trouvée, vous êtes prévenu tout de suite, sans attendre le rapport.
Votre hébergeur
Si votre site est hébergé chez un prestataire, nous vérifions ses règles avec vous avant de commencer.
Chaque faille est expliquée deux fois : en termes concrets pour la direction, en détail technique pour ceux qui corrigent.
Une attestation de test à présenter à vos clients
Une synthèse pour la direction
Ce qu’un attaquant pourrait faire : vol de données, arrêt du site, accès aux comptes.
Un rapport technique
Chaque faille, sa gravité, la preuve et la correction recommandée.
Un plan de correction
Les failles classées par priorité, pour corriger d’abord ce qui compte.
Une restitution
Avec la direction et votre prestataire technique, pour lever toutes les questions.
À partir de 3 500 € HT
Selon ce qui est testé. Le prix est annoncé avant de commencer.
Ce qui fait varier le prix
- Ce qui est testé : site vitrine, site marchand, application, réseau
- Sa taille : nombre de pages, de fonctions, d’adresses ou de postes
- La formule : sans information, avec un compte, avec toutes les informations
- Des tests en heures ouvrées ou en dehors
Le périmètre exact est fixé ensemble lors de l’appel de découverte.
Inclus dans le test
- Le cadrage et la convention d’autorisation
- Les tests aux dates convenues
- L’alerte immédiate en cas de faille grave
- La synthèse direction, le rapport technique et la restitution
- L’attestation de test
Non inclus
- La correction des failles, faite par votre prestataire technique
- Le contre-test après correction : en option
- Le tour complet de votre sécurité : HERASAFE AUDIT
- La mise en conformité NIS2, RGPD, ISO 27001 : HERASAFE COMPLY
- L’intervention en cas d’attaque : HERASAFE CRISIS
Tous nos experts ont passé un test technique et un entretien avant de rejoindre HERASAFE. L’expert est choisi pour chaque mission selon votre besoin.
Expert HERASAFE
Pentesteur, applications web
Expert HERASAFE
Pentesteur, réseaux d’entreprise
Expert HERASAFE
Pentesteur, infrastructures cloud
Pourquoi passer par HERASAFE
Un seul interlocuteur
Un seul contrat, une seule facture, du premier appel à la restitution.
Des experts validés
Test technique et entretien avant d’intégrer notre réseau.
Un prix annoncé
Vous connaissez le montant avant que les tests commencent.
Écrit pour la direction
Des rapports compréhensibles sans être technicien.
Confidentialité
L’expert signe un engagement de confidentialité pour chaque mission.
Un test d’intrusion, est-ce légal ?
Oui, avec votre autorisation écrite. S’introduire dans un système informatique sans autorisation est un délit : c’est la convention signée avant les tests qui rend l’intervention légale.
Le test peut-il casser quelque chose ?
Le risque est faible et encadré : aucun test destructif sans votre accord, des horaires convenus à l’avance, et vous pouvez arrêter les tests à tout moment.
Mon hébergeur doit-il être prévenu ?
Souvent, oui. Certains hébergeurs et services cloud ont leurs propres règles pour les tests. Nous les vérifions avec vous avant de commencer.
À quelle fréquence faut-il le refaire ?
En général une fois par an, et après chaque changement important : refonte du site, nouvelle application, migration.
Quelle différence avec un scan automatique ?
Un scan repère des failles connues avec un logiciel. Le test d’intrusion est mené par un humain : il combine les failles entre elles, vérifie qu’elles sont réellement exploitables et écarte les fausses alertes.
Qui corrige les failles ?
Votre prestataire technique, à partir de nos recommandations. Vous ne savez pas par où commencer ? L’audit est souvent la première étape. Découvrir l’audit