Prestations de sécurité web & API, une même exigence.
Nous sommes chercheurs en sécurité, basés en France. Notre métier : attaquer vos applications avant que quelqu'un d'autre ne le fasse pour de mauvaises raisons, puis vous remettre de quoi corriger. Voici nos six prestations : cinq pour tester avant, une pour intervenir après un piratage.
En bref
- Six prestationsTest d'intrusion web, audit d'API, audit WordPress, audit de site web, authentification et permissions, intervention après un piratage.
- Le point communNos outils maison couvrent le connu, et l'expertise manuelle va chercher ce qui est propre à votre application.
- Hors périmètreEn test d'intrusion, le mobile natif, les systèmes industriels et l'infrastructure interne. Nous le disons plutôt que de sous-traiter.
- Le premier pasUn échange de cadrage, gratuit et sans engagement.
Vulnérabilités trouvées dans ces secteurs
- Services publics (.gouv.fr)
- Groupes du CAC 40
- Leaders du luxe
- Médias nationaux
- Mairies et collectivités
Tester avant, intervenir après.
Chacune a sa page : ce que nous faisons, comment, ce que vous recevez et ce que cela coûte.
Test d'intrusion web
Votre application est en ligne. Nous la testons comme le ferait un attaquant réel : en cherchant le chemin que personne n'avait prévu, sans rien casser et sans que vos utilisateurs s'en aperçoivent.
Voir la prestationAudit de sécurité d'API
REST, JSON, GraphQL. Une API répond exactement ce qu'on lui demande : reste à vérifier qu'elle ne répond qu'à qui de droit.
Voir la prestationAudit de sécurité WordPress
Extensions, thèmes, rôles, surface d'administration. Le cœur de WordPress est solide. Ce qu'on empile dessus l'est nettement moins, et c'est le plus souvent par là que l'on entre.
Voir la prestationAudit de sécurité de site web
Site vitrine, boutique en ligne ou CMS. La plupart des attaques qu'un site public subit ne visent personne en particulier : elles balayent, elles trouvent, elles reviennent.
Voir la prestationAuthentification et permissions
Qui peut vraiment faire quoi. IDOR, élévation de privilèges, cloisonnement entre clients : la première catégorie du Top 10 de l'OWASP, et l'une des plus difficiles à repérer avec un outil.
Voir la prestationIntervention après un piratage
Un site, un ordinateur ou des sauvegardes piratés, ou une arnaque. Nous intervenons à distance, ou chez vous à Rouen et ses alentours, pour contenir l'attaque, trouver le point d'entrée et tout remettre en état.
Voir la prestationCe qu'un outil détecte, un attaquant le détecte aussi. Nous cherchons ce qu'il ne voit pas encore.
Un scanner trouve surtout ce qui est déjà catalogué. Beaucoup de failles graves demandent de comprendre votre application. C'est là que nous passons notre temps.
Chaque mission combine nos outils maison et une expertise manuelle. Les outils couvrent le connu et ne laissent rien de mécanique de côté. L'expertise va chercher ce qui est propre à votre application : vos règles, vos rôles, vos parcours.
Ces missions se déclenchent quand vous en avez besoin : avant une mise en production, après une refonte, ou pour trancher une alerte que personne n'arrive à qualifier. La méthode reste la même, seule la surface change.
Une application, cinq portes d'entrée. Chaque prestation de test en couvre une, avec la même méthode et le même rapport.
Une pratique sur le terrain.
Chercheurs actifs en bug bounty : chaque faille que nous y signalons est vérifiée par l'entreprise concernée avant d'être acceptée.
rapports envoyés avec une vulnérabilité critique
Sur plus de 485 rapports envoyés, en test d'intrusion et en bug bounty.
rapports envoyés au total
En test d'intrusion et en bug bounty.
Actifs en bug bounty
Chercheurs sur YesWeHack et Intigriti, deux plateformes européennes où chaque faille est vérifiée avant d'être acceptée.
Laquelle vous concerne ?
Ce n'est pas votre secteur qui décide de la bonne prestation, c'est où en est votre projet. Ces questions suffisent en général à trancher.
Votre application est-elle déjà en ligne ?
Si oui, c'est un test d'intrusion web : on travaille sur le système réel, avec ses données réelles et ses comportements réels, ce qu'une préproduction reproduit rarement à l'identique. Si non, on cadre un audit avant mise en production, sur une préproduction représentative.
Où vivent vos données sensibles ?
Si l'essentiel de la logique métier est derrière des endpoints consommés par un front JavaScript ou une application mobile, c'est un audit de sécurité d'API. C'est aujourd'hui la surface où nous trouvons le plus de failles graves, parce que les contrôles d'accès y sont souvent supposés plutôt que vérifiés.
Sur quoi tourne le site ?
Si la réponse est WordPress, les modes d'entrée sont suffisamment spécifiques pour mériter leur propre approche : c'est l'objet de l'audit de sécurité WordPress.
Sert-il surtout à présenter et à vendre ?
Si vos visiteurs consultent, remplissent un formulaire et achètent, avec tout au plus un espace client simple, le risque est dans l'exposition et la configuration : c'est un audit de sécurité de site web.
Plusieurs rôles, ou plusieurs clients sur une même plateforme ?
Quand la vraie question est qui peut atteindre quoi, l'audit authentification et permissions construit la matrice de droits complète et en vérifie chaque case.
Avez-vous déjà été piraté, ou victime d'une arnaque ?
Site défiguré, fichiers chiffrés, administrateur que personne ne connaît, faux support technique : ce n'est plus le moment d'un audit. L'intervention après un piratage contient l'attaque, trouve le point d'entrée et remet vos systèmes en état, à distance ou chez vous à Rouen et ses alentours.
Vous hésitez encore ?
Décrivez-nous votre site ou votre application en quelques lignes. Nous vous disons quelle prestation lui correspond, ou s'il est encore trop tôt pour un test.
Décrire mon projetCe qui ne change jamais.
Quelle que soit la prestation, ces six points figurent dans chaque mission.
Un NDA et une convention
Le NDA dès que l'on entre dans le détail technique, la convention d'autorisation de test d'intrusion une fois le devis signé, avant le moindre accès.
Une fenêtre définie
Une fenêtre de test convenue à l'avance, connue de vous seul si besoin.
Un rapport priorisé
Classé par gravité réelle, pas par score théorique.
Une preuve reproductible
Une preuve de concept rejouable pour chaque faille.
Le retest, inclus
Chaque correctif est retesté, sans facturation supplémentaire.
Une restitution
Un échange avec vos équipes pour parcourir les failles et prioriser les corrections.
Avant de vous décider.
Le prix, la méthode, le livrable et ceux qui le réalisent : chacun a sa page.
Combien coûte un pentest
Nos tarifs, ce qui fait varier le montant et ce qui est toujours compris.
Voir la pageNotre méthodologie
Les référentiels, les phases et les règles d'engagement de chaque mission.
Voir la pageExemple de rapport
Le livrable en détail, avec une faille expliquée de bout en bout.
Voir la pageQui nous sommes
Pentesters et chercheurs en bug bounty, du cadrage au retest, sans sous-traitance.
Voir la pageCommençons par un échange.
Dites-nous ce que vous voudriez faire tester. Le premier échange est sans engagement. Basés en France, nous intervenons à distance partout en Europe et dans le monde, en français comme en anglais.