Pentest ou scan ? Les deux, mais pas pour la même question.
Les deux prestations sont régulièrement vendues sous le même nom, à des prix qui varient d'un facteur dix. La différence n'est pas une question de qualité d'outil : c'est une différence de nature. L'un compare votre installation à une liste de failles déjà connues, l'autre cherche celles qui n'existent que chez vous.
Ce qu'un scanner sait faire, et fait bien.
Un scanner de vulnérabilités entretient un catalogue de failles publiquement documentées : telle version de telle bibliothèque, tel réglage par défaut, tel en-tête absent. Il parcourt votre installation, compare ce qu'il voit à son catalogue, et signale les correspondances. C'est rapide, c'est reproductible, et cela ne coûte presque rien à faire tourner.
Sur ce terrain, aucun humain ne fait mieux. Un scanner ne se fatigue pas, il passe la totalité de sa liste chaque nuit, et il détecte le lendemain matin qu'une dépendance installée l'an dernier vient de faire l'objet d'une publication. Se priver de cet outil serait absurde : c'est le meilleur filet permanent qui existe.
Sa limite est structurelle et n'a rien à voir avec sa qualité. Un scanner ne peut trouver que ce que quelqu'un a déjà décrit avant lui. Le jour où il découvre une faille qui ne figure dans aucune base, c'est le fruit du hasard, pas d'une recherche.
Ce que fait une recherche manuelle.
Un test d'intrusion part de l'autre bout. Au lieu de comparer votre application à un catalogue, il essaie de comprendre ce qu'elle est censée faire, puis cherche les endroits où cette intention n'a pas été correctement traduite. Cela suppose de lire votre métier, pas seulement votre code.
Concrètement, la question n'est plus « cette version est-elle vulnérable ? » mais « que se passe-t-il si j'envoie cette requête légitime avec l'identifiant de quelqu'un d'autre ? ». La requête est normale, la réponse est un code de succès, et aucun outil au monde ne peut savoir que ces données n'auraient pas dû sortir.
C'est aussi la seule approche capable de chaîner. Trois défauts mineurs, chacun classé faible par un outil, peuvent former ensemble un chemin qui mène au compte administrateur. Un scanner les listera sur trois lignes séparées sans jamais faire le lien, parce que le lien n'existe que dans votre application.
Quatre différences qui comptent.
Ce ne sont pas deux niveaux de qualité du même service. Ce sont deux services différents.
Ce qui est cherché
Le scan cherche des failles connues et documentées, présentes chez tout le monde. L'audit cherche des failles spécifiques à votre application, présentes uniquement chez vous.
La confiance dans le résultat
Un scan produit des alertes à trier, dont une part importante ne tient pas à la vérification. Un audit ne rapporte que ce qui a été exploité, avec la preuve reproductible.
Le rythme
Le scan se lance en continu, toutes les nuits s'il le faut. L'audit est un temps long, qu'on déclenche à un moment précis : avant une mise en production, après une refonte, à la demande d'un client.
Ce qu'on peut en faire
Un rapport de scan sert à maintenir une hygiène. Un rapport d'audit sert aussi à répondre à un client, un assureur ou un dossier de conformité, parce qu'il documente une recherche humaine et un périmètre.
Ce qu'aucun scanner ne trouvera.
Ces quatre exemples sont représentatifs de ce que je trouve le plus souvent. Aucun d'eux n'apparaît dans un rapport de scan, et ce n'est la faute d'aucun outil.
Comment les combiner.
La bonne question n'est pas lequel choisir, mais quel rôle donner à chacun.
- Faites tourner le scan en continu : il ferme les portes évidentes et vous avertit dès qu'une dépendance devient vulnérable.
- Considérez son rapport comme une file de maintenance, pas comme un diagnostic de sécurité.
- Déclenchez un test manuel aux moments qui comptent : avant une mise en production, après une refonte, à l'arrivée d'une fonctionnalité sensible.
- Fournissez le dernier rapport de scan au moment du cadrage : cela évite de payer des jours de recherche sur ce qui est déjà connu.
- Servez-vous de l'audit pour calibrer le scan : les faux positifs récurrents peuvent être écartés une fois pour toutes.
- Rejouez un audit quand le produit change de nature, pas à date fixe : un audit annuel sur une application figée apporte moins qu'un audit déclenché par une refonte.
Questions fréquentes.
Un scan de vulnérabilités, est-ce que c'est un audit de sécurité ?
Non, et la confusion est courante parce que certains prestataires vendent le premier sous le nom du second. Un scan est une passe automatisée qui compare votre installation à une base de failles connues. Un audit comprend une part de recherche humaine sur ce qui vous est propre. Un devis d'audit sans jours de recherche manuelle est un scan mis en forme.
Un scanner peut-il trouver une faille de logique métier ?
Non, jamais, et ce n'est pas un défaut de qualité mais une limite de nature. Pour savoir qu'un utilisateur ne devrait pas pouvoir valider sa propre demande de remboursement, il faut connaître votre métier. Cette information n'existe dans aucune base de signatures parce qu'elle n'existe que chez vous.
Combien de faux positifs faut-il attendre d'un scanner ?
Beaucoup, et c'est le coût caché de l'outil. Une part importante des alertes remontées par un scan brut ne tient pas à la vérification : version mal détectée, faille inatteignable dans votre configuration, contrôle compensatoire déjà en place. Ce tri prend du temps, et il demande quelqu'un qui sait le faire.
Le scan est-il quand même utile ?
Très. C'est le meilleur outil pour la couverture continue : il tourne toutes les nuits, il ne se fatigue pas, et il détecte immédiatement une bibliothèque vulnérable publiée hier. C'est un excellent filet permanent, ce n'est simplement pas un test d'intrusion.
Par lequel commencer si le budget est limité ?
Par le scan, sans hésiter, parce qu'il coûte peu et ferme les portes évidentes. Mais il faut savoir qu'une fois ces portes fermées, il ne progressera plus : les mois suivants donneront le même rapport. C'est à ce moment qu'un test manuel commence à valoir son prix.
Pour aller plus loin.
Vous avez déjà un rapport de scan ?
Envoyez-le au moment du cadrage. Il me dit ce qui est déjà couvert, donc où ne pas passer de temps, et le devis en tient compte. Premier échange sans engagement, confidentialité totale.