À propos de nous, pentesters web & API en France.
Nous menons chaque mission de bout en bout, sur des périmètres web et API, depuis la France, et nous sommes aussi chercheurs actifs sur les plateformes publiques de bug bounty. Les deux activités se nourrissent l'une l'autre : le bug bounty entretient une pratique offensive sur des périmètres réels et en concurrence, le pentest la met au service d'une entreprise précise, dans un cadre écrit.
En bref
- MétierTest d'intrusion web et API, du cadrage au retest.
- Bug bountyChercheurs actifs sur YesWeHack et Intigriti.
- LanguesMissions et rapports en français comme en anglais.
- EngagementLes mêmes personnes du début à la fin, sans sous-traitance.
Vulnérabilités trouvées dans ces secteurs
- Services publics (.gouv.fr)
- Groupes du CAC 40
- Leaders du luxe
- Médias nationaux
- Mairies et collectivités
Deux métiers qui se répondent.
En bug bounty, une faille déjà signalée par un autre ne rapporte rien. Ça oblige à aller plus loin que tout le monde. À force, chercher plus loin devient un réflexe.
C'est ce réflexe que nous apportons dans chaque test d'intrusion. Nous ne nous arrêtons pas à une liste de contrôles : nous cherchons aussi ce qui a pu échapper aux autres.
Le test d'intrusion y ajoute ce qu'une entreprise attend d'un prestataire : un cadre, un périmètre écrit, un rapport complet, et quelqu'un à qui parler quand il faut corriger. Les deux métiers se complètent, et c'est cette combinaison que vous trouvez chez nous.
Bug bounty
- Des programmes ouverts par les entreprises elles-mêmes
- Des centaines de chercheurs sur les mêmes cibles
- Une récompense pour chaque faille validée
On y apprend à chercher plus loin que les autres.
Test d'intrusion
- Une mission dédiée à votre application
- Un périmètre et une fenêtre fixés avec vous
- Un rapport complet, une restitution et un retest
On y met cette expérience au service de votre entreprise.
Deux formats différents, la même façon de chercher. Retournez la carte.
Là où nous avons trouvé des vulnérabilités.
Des vulnérabilités trouvées, signalées et corrigées sur des services publics français, des groupes du CAC 40 et des leaders du secteur du luxe, entre autres. Les périmètres et les entreprises ne sont jamais nommés.
rapports envoyés avec une vulnérabilité critique
Sur plus de 485 rapports envoyés, en test d'intrusion et en bug bounty.
rapports envoyés au total
En test d'intrusion et en bug bounty.
Actifs en bug bounty
Chercheurs sur YesWeHack et Intigriti, deux plateformes européennes où chaque faille est vérifiée avant d'être acceptée.
Une pratique entretenue
Le bug bounty n'est pas une ligne sur un CV : c'est une activité continue sur des plateformes publiques, où les résultats sont validés par les équipes de sécurité des entreprises concernées avant d'être récompensés.
Une discrétion qui va dans les deux sens
Aucun client de pentest n'est nommé sur ce site, aucun périmètre n'est décrit, et les exemples de failles publiés sont systématiquement réécrits pour retirer tout élément permettant de remonter à qui que ce soit.
Référencés sur Cybermalveillance.gouv.fr.
Le dispositif national d'assistance aux victimes d'actes de cybermalveillance nous compte parmi ses professionnels référencés.
Cybermalveillance.gouv.fr est porté par un groupement d'intérêt public, le GIP ACYMA, créé en 2017 à l'initiative de l'État. Il assiste les victimes, sensibilise aux risques numériques et observe la menace, pour les particuliers, les entreprises, les associations et les collectivités.
Une victime peut y être mise en relation avec un professionnel référencé. Après une attaque sur un site, un ordinateur ou une sauvegarde, ou après une arnaque, nous intervenons à distance ou sur site à Rouen et ses alentours : nous cherchons par où l'attaquant est entré, nous mesurons ce qui a été exposé, puis nous vérifions que les correctifs ferment bien la faille.
Découvrir le dispositifCe sur quoi nous ne transigeons pas.
Six principes qui tiennent sur chaque mission, quelle que soit sa taille.
Nous réalisons nous-mêmes
Il n'y a pas de couche commerciale entre vous et le travail, et c'est volontaire. La personne avec qui vous cadrez la mission est celle qui teste, celle qui rédige, et celle que vous aurez au téléphone six mois plus tard si une question revient. Rien n'est sous-traité.
Nos outils couvrent, nous cherchons
Nos outils maison couvrent le connu et ne laissent rien de mécanique de côté. Aucun résultat d'outil n'entre dans un rapport sans avoir été rejoué et confirmé. Ce que vous payez, c'est le temps passé sur ce qui vous est propre.
Nous refusons ce que nous ne savons pas faire
En test d'intrusion, nous faisons du web et de l'API : ni mobile natif, ni système industriel, ni audit d'infrastructure interne à grande échelle. Après un piratage, nous intervenons aussi sur les postes, les serveurs, les sauvegardes et les objets connectés. Quand une demande sort de ce cadre, nous le disons et nous orientons ailleurs plutôt que d'apprendre à vos frais.
Nous écrivons pour être lus
Un rapport qui n'est compréhensible que par son auteur est un rapport raté. La synthèse s'adresse à une direction, le détail technique à des développeurs, et chaque faille se reproduit sans nous.
Nous prévenons tout de suite
Une vulnérabilité critique ne peut pas attendre la remise du rapport. Elle est signalée le jour même, avec de quoi la contenir immédiatement, même si cela raccourcit la mission.
Nous vérifions après vous
Un audit sans retest laisse une liste de corrections dont personne n'a confirmé l'efficacité. Le retest est inclus dans chaque mission, et son résultat est écrit noir sur blanc.
Ce que chaque mission met par écrit.
La confiance ne remplace pas un document. Voici ce qui est signé ou fourni sur chaque mission, sans que vous ayez à le demander.
Chaque mission
- Un accord de confidentialitéSigné avant que vous ne partagiez le moindre détail technique.
- Une convention d'autorisation de test d'intrusionSignée une fois le devis accepté : le périmètre, la fenêtre d'intervention et les URLs concernées.
- Des règles d'engagement explicitesNi déni de service, ni action destructrice, ni extraction de données au-delà de la preuve.
- Un journal horodaté des testsPour que notre activité soit distinguable d'une attaque réelle dans vos propres traces.
- Un traitement conforme au RGPDAvec destruction des preuves après la période de conservation convenue.
Signé en premier, détruit en dernier. Les données de mission ont une durée de vie convenue, du NDA à l'effacement des preuves.
Pourquoi nous plutôt qu'un grand cabinet ?
Pour deux raisons concrètes. La personne qui vous vend la mission est celle qui la réalise, ce qui n'est pas toujours le cas ailleurs : on rencontre un expert en avant-vente, et un profil junior arrive après signature. Et il n'y a ni structure commerciale ni couche de gestion de projet à financer dans le prix. En contrepartie, nous ne prenons pas les périmètres qui sortent de notre champ, et nous le disons plutôt que de sous-traiter.
Avec quels types d'entreprises travaillez-vous ?
Des éditeurs de logiciel et des plateformes en ligne principalement, ainsi que des sites de vente et des applications métier. La taille compte moins que la nature de ce qui est manipulé : une petite équipe qui héberge des données sensibles a plus besoin d'un audit qu'un grand groupe dont le site est une plaquette.
Intervenez-vous en dehors de la France ?
Oui, les missions se déroulent à distance et nous travaillons en français comme en anglais. Le lieu de l'entreprise n'a pas d'importance. Ce qui compte, c'est le cadre juridique de la convention d'autorisation de test d'intrusion, signée pour chaque mission.
Que devient ce que vous découvrez sur nous ?
Rien n'en sort. Le NDA est signé avant tout échange technique, les preuves et les données de mission sont détruites après la période de conservation convenue, et aucun client ni périmètre n'est nommé, y compris dans les exemples publiés sur ce site.
Que signifie « référencés sur Cybermalveillance.gouv.fr » ?
Cybermalveillance.gouv.fr est le dispositif national d'assistance aux victimes d'actes de cybermalveillance. Le référencement porte sur l'assistance aux victimes : il repose sur une candidature volontaire et sur la signature de la charte d'engagement de la plateforme (bonnes pratiques commerciales, confidentialité des données des clients, remontée d'éléments techniques sur la menace). Il ne faut pas le confondre avec le label ExpertCyber, délivré après un audit.
Pour aller plus loin.
Ce que nous faisons, comment, et ce que vous recevez.
Toutes les prestations
Les six prestations, et laquelle correspond à votre projet.
Voir la pageNotre méthodologie
Les référentiels, les phases et les règles d'engagement de chaque mission.
Voir la pageExemple de rapport
Le livrable en détail, avec une faille expliquée de bout en bout.
Voir la pageCombien coûte un pentest
Nos tarifs, et ce qui est toujours compris.
Voir la pageParlons de votre périmètre.
Le premier échange sert à savoir si nous avons quelque chose d'utile à vous apporter. Si ce n'est pas le cas, nous le disons. Sans engagement.