Esprit offensif
Une vraie logique d'attaquant. Nous cherchons le chemin qu'aucun scanner du marché ne signalera : la règle métier qui plie, le rôle qui va trop loin.
Vos vulnérabilités trouvées avant les hackers.
Vos failles existent déjà. La seule question, c'est qui les trouve en premier. Nous testons vos sites et vos API avec nos outils maison et une expertise manuelle, comme le ferait un vrai attaquant.
Vulnérabilités trouvées dans ces secteurs
- Services publics (.gouv.fr)
- Groupes du CAC 40
- Leaders du luxe
- Médias nationaux
- Mairies et collectivités
Qui de mieux qu'un hacker éthique pour trouver vos vulnérabilités ?
Un attaquant n'a besoin que d'une faille. Autant que ce soit nous qui la trouvions. Patients, méthodiques, silencieux : là où les scanners du marché s'arrêtent, nous continuons, jusqu'à la faiblesse qui menace vraiment votre activité. Puis nous vous donnons de quoi la corriger pour de bon.
Rigueur de terrain
Une expérience réelle, acquise sur des plateformes à fort trafic et des environnements sensibles. Chaque route, chaque rôle, vérifiés.
Discrétion absolue
Confidentialité stricte, NDA systématique, rapports chiffrés si besoin.
Éprouvé là où les enjeux sont les plus élevés.
Des vulnérabilités trouvées, signalées et corrigées sur des périmètres où une erreur se paie comptant.
rapports envoyés avec une vulnérabilité critique
Sur plus de 485 rapports envoyés, en test d'intrusion et en bug bounty.
+485
rapports envoyés au total
Actifs en bug bounty
Chercheurs sur YesWeHack et Intigriti, deux plateformes européennes de bug bounty où chaque faille est vérifiée avant d'être acceptée.
Un audit taillé pour votre situation.
Que vous lanciez un site ou que vous sécurisiez un service déjà en ligne, voici les missions que nous menons le plus souvent.
Audit avant mise en production
Détecter les failles tant qu'elles ne coûtent encore qu'un correctif, pas un incident, avant que votre site ou votre fonctionnalité ne soit en ligne.
Avant la mise en lignePréproduction
Test d'un site en production
Déjà en ligne ? Nous le testons dans les conditions d'une vraie attaque, discrètement et sans rien casser.
ProductionSans interruption
Audit d'API
REST, JSON, GraphQL : nous vérifions que chaque endpoint ne laisse passer que ce qu'il devrait, et seulement à qui de droit.
RESTGraphQLWebhooks
Revue de l'authentification et des permissions
Qui peut accéder à quoi ? Nous traquons les accès qui franchissent les frontières prévues : IDOR, élévation de privilèges, permissions cassées.
IDORRôlesSessions
Second regard & post-incident
Un doute après une alerte ou un changement majeur ? Nous confirmons ce qui est réel, nous qualifions l'impact, nous documentons.
Après une alerteImpact
Vous hésitez entre plusieurs ?
Dites-nous ce que vous construisez ou exploitez. Nous cadrons la mission ensemble, lors d'un premier échange sans engagement.
Discuter de votre besoinTout ce qui reçoit une requête, nous le testons.
Votre espace client est une cible. Sites, applications, back-offices, API : nous testons ce que vos clients et vos équipes utilisent tous les jours, là où se trouvent vos données, vos paiements et vos accès.
Là où nous cherchons.
La couche web
Sites, applications web, portails, espaces clients, back-offices et CMS : toute l'interface que touchent vos utilisateurs et vos équipes.
- Sites
- Apps web
- Portails
- Espaces clients
- Back-offices
- SPA
- WordPress & CMS
- Paiements & tunnels
La couche API
API REST et JSON, authentification, autorisation, et les intégrations tierces qui font tenir l'ensemble.
- REST
- JSON
- GraphQL
- Auth & tokens
- OAuth & OIDC
- Webhooks
- WebSockets
- Intégrations
Les vulnérabilités que nous recherchons.
Les portes qu'un attaquant cherche à ouvrir, chacune en une phrase simple. Le détail technique est dans le rapport.
Injections & entrées
Faire exécuter au site ce qu'il ne devrait pas.
Un script glissé dans une page s'exécute chez vos utilisateurs.
Une saisie atteint la base de données comme une commande, pas comme une donnée.
Un fichier envoyé finit par faire bien plus que rester stocké.
Un chemin de fichier sort du dossier où il devait rester.
Accès & identité
Voir ou faire ce qui ne vous appartient pas.
On change un identifiant, on obtient la fiche de quelqu'un d'autre.
Une page ou une action restée accessible au mauvais rôle.
Un compte standard se retrouve avec des pouvoirs d'administrateur.
Connexions, réinitialisations ou sessions que l'on peut contourner.
Un navigateur connecté poussé à agir à l'insu de son utilisateur.
API & logique
Détourner les règles métier et les autorisations.
Des endpoints qui font bien trop confiance à l'appelant.
Des fonctions réservées aux admins, appelables par un simple utilisateur.
Des champs qu'un utilisateur ne devrait jamais modifier, acceptés quand même.
Les règles de votre activité, retournées contre elle.
Serveur & config
Exploiter ce que le serveur expose ou laisse ouvert.
Votre serveur amené à récupérer ce qu'un tiers choisit.
Un autre site autorisé à lire les données de vos utilisateurs.
Clés, versions ou données qui fuient là où personne ne regarde.
Une bibliothèque ou un CMS dans une version aux failles connues, toujours en production.
Une méthode reproductible.
Six étapes, du cadrage au retest, dans le même ordre à chaque mission.
Lire la méthodologie complète- 01
Cadrage
Nous fixons avec vous le périmètre, les règles et la fenêtre de test. Le contrat de test et le NDA sont signés avant le moindre accès.
- 02
Reconnaissance
Nous cartographions tout ce que vous exposez, y compris les sous-domaines, endpoints et flux dont vous aviez oublié qu'ils étaient encore en ligne.
- 03
Exploitation
Nos outils maison couvrent la surface en profondeur. Là où un outil ne suffit plus, notre expertise manuelle prend le relais et enchaîne les faiblesses jusqu'à un impact réel et démontrable.
- 04
Impact & preuve
Une preuve de concept reproductible : vous voyez exactement ce qu'un attaquant pourrait atteindre.
- 05
Rapport et restitution
Des priorités lisibles côté direction comme côté technique, avec quoi corriger et dans quel ordre, puis une restitution avec votre équipe.
- 06
Retest & clôture
Nous retestons chaque correctif nous-mêmes : une faille n'est close qu'une fois sa correction confirmée.
Ce que vous recevez après notre mission.
Un travail directement exploitable par vos équipes comme par vos prestataires, chaque faille étant prouvée et expliquée.
bughunter.pro Confidentiel, sous NDA
Rapport de test d'intrusion
Exemple interactif, construit à partir des failles anonymisées plus bas
Critique3
Élevée1
Moyenne0
Plus de 100 000 profils lecteurs lisibles et effaçables par n'importe qui, sans compte. Des données personnelles exposées : un risque réglementaire et une atteinte à la confiance des lecteurs.
GravitéCritique, sans compte
Requêtes, captures et étapes de reproduction : caviardées dans cet exemple. Votre rapport contient chacune d'elles, prête à rejouer.
Vérifier côté serveur, à chaque requête, que l'utilisateur connecté a le droit d'agir sur la ressource demandée, et refuser par défaut.
PrioritéImmédiate, retest inclus
Le coffre-fort de secrets d'infrastructure était ouvert sans authentification : les clés des services internes, à portée de n'importe qui.
GravitéCritique, sans authentification
Requêtes, captures et étapes de reproduction : caviardées dans cet exemple. Votre rapport contient chacune d'elles, prête à rejouer.
Fermer l'accès public, révoquer puis régénérer toutes les clés exposées, et réserver l'accès au coffre aux seuls services qui en ont besoin.
PrioritéImmédiate, retest inclus
Des abonnements premium pouvaient être activés sans payer : une perte de revenus directe.
GravitéÉlevée, sans paiement
Requêtes, captures et étapes de reproduction : caviardées dans cet exemple. Votre rapport contient chacune d'elles, prête à rejouer.
N'activer un abonnement qu'après la confirmation du paiement par le prestataire, vérifiée côté serveur, jamais sur la seule parole du navigateur.
PrioritéHaute, retest inclus
Restitution avec votre équipe Corrigé et retesté
Rapport priorisé
Chaque faille classée par gravité réelle et par urgence : on corrige le plus dangereux d'abord, pas le plus bruyant.
Preuve de concept reproductible
Les étapes exactes pour rejouer chaque faille. Aucun « peut-être », aucune théorie : une preuve à remettre directement à vos développeurs.
Impact métier
En langage clair : ce que ça expose, ce que ça coûterait, qui est concerné. Lisible sans bagage technique.
Remédiation concrète
Pas seulement « c'est cassé » : comment corriger, expliqué pour que votre équipe puisse réellement l'appliquer.
Retest inclus
Une fois vos correctifs en place, nous revérifions. La porte est fermée, et c'est vérifié, pas supposé.
Restitution & échange
Un point de restitution avec votre équipe, pour que les failles soient comprises et prises en main, pas seulement livrées.
Des failles réelles, anonymisées et corrigées.
Chacune prouvée, documentée dans un rapport, puis corrigée.
- CritiqueCorrigée
Fuite de secrets
Un coffre-fort de secrets d'infrastructure, déverrouillé et sans authentification, chez un grand organisme public : les clés de tout, à portée de n'importe qui.
- CritiqueCorrigée
Contrôle d'accès cassé
Plus de 100 000 profils de lecteurs d'un grand titre de presse, lisibles et effaçables en une seule requête, sans aucun compte.
- CritiqueCorrigée
Injection SQL
La base de données complète d'un site d'information, avec des centaines de tables de données personnelles, exportable sans le moindre compte.
- CritiqueCorrigée
Path traversal
Écriture de fichiers arbitraires sur le site d'une collectivité, enchaînée en une session administrateur forgée sans mot de passe.
- ÉlevéeCorrigée
Logique métier
Des abonnements premium créés sans payer et sans compte, sur la plateforme d'un éditeur de presse.
Nous ne divulguons jamais le nom d'un client, ni aucun détail qui permettrait de le reconnaître. Ces exemples ont été réécrits pour qu'aucun ne soit rattachable à personne.
Signez-vous des NDA ?
Oui. La confidentialité est la règle, pas une option payante. Un NDA est signé avant tout partage de périmètre, et le rapport peut être entièrement chiffré sur demande.
Citerez-vous un jour mon entreprise ?
Jamais. Votre identité, votre périmètre et chaque faille restent strictement entre nous. La discrétion fait partie de la prestation.
Testez-vous les applications mobiles ?
Nous nous concentrons sur le web et les API. C'est là que nous allons le plus loin et que nous trouvons les failles à plus fort impact. Pour le mobile natif, nous vous orienterons volontiers vers un spécialiste de confiance.
Comment démarre une mission ?
Un court échange de cadrage, un accord signé, puis une fenêtre de test définie qui se termine par un rapport clair et priorisé. Voir notre méthodologie.
Combien de temps dure une mission ?
Cela dépend du périmètre. Un audit ciblé peut tenir en quelques jours, une application complexe demandera deux à trois semaines. On en discute lors du cadrage.
Combien coûte un pentest ?
Il n'y a pas de forfait : nos missions commencent à 2 700 €, et le prix dépend de la taille et de la complexité de votre périmètre. On le cadre ensemble lors d'un premier échange, sans engagement. Ce qui fait varier le prix.
Commençons par un échange.
Dites-nous ce que vous voudriez faire tester. Basés en France, nous intervenons à distance partout en Europe et dans le monde, en français comme en anglais.
La suite, concrètement
- 1
Un court échange de cadrage
Vous nous dites ce qui compte, puis nous fixons ensemble le périmètre, la fenêtre de test et le prix, sans engagement.
- 2
NDA et accord
Signés avant que vous ne partagiez quoi que ce soit sur votre périmètre.
- 3
Tests, rapport, retest
Une fenêtre de test définie, un rapport clair et priorisé, une restitution avec votre équipe, puis le retest de vos correctifs.