Pentest Web et API
Éprouver les fonctions, les rôles et les échanges par des vérifications offensives ciblées.
Une prestation adaptée à votre application
Le pentest Web et API recherche les vulnérabilités exploitables dans une application, au-delà de sa seule infrastructure d’hébergement. Les scénarios portent sur les fonctions métier, les sessions, les autorisations et les données accessibles. Des comptes représentatifs permettent, lorsque cela est prévu, de comparer les droits entre rôles et entre utilisateurs.
Authentification et sessions
Examiner les parcours de connexion, les mécanismes de session et les opérations sensibles. Rechercher les possibilités de contournement prévues au périmètre.
Autorisations et cloisonnement
Vérifier les accès aux objets et aux fonctions, les différences entre rôles et la séparation entre utilisateurs ou organisations.
Entrées et traitements
Rechercher les injections, les comportements inattendus et les expositions de données. Combiner outils et contrôles manuels adaptés à l’application.
API et logique métier
Étudier les endpoints, les enchaînements d’opérations et les règles métier. Examiner les échanges avec les services associés autorisés.
Comment se déroule la mission ?
Préparer les rôles et les données
Définir les applications, les API, les comptes, l’environnement d’essai et les exclusions. Prévoir des données compatibles avec les tests.
Construire les scénarios
Cartographier les fonctions puis valider les hypothèses d’attaque. Adapter les vérifications aux traitements et à la logique métier.
Restituer et vérifier les corrections
Documenter les requêtes et les conditions utiles à la reproduction. Prioriser les corrections et réaliser les contre-tests convenus.
Ce que vous obtenez
- Synthèse des risques applicatifs et des scénarios démontrés.
- Constats avec prérequis, preuves et recommandations de développement.
- Plan de correction et résultats des nouveaux tests inclus.
Des constats utilisables par vos équipes
Observation et preuves
Comprendre ce qui a été observé, les accès utilisés et les limites du contrôle.
Impact et priorité
Relier le constat à ses conséquences dans le contexte du système étudié.
Correction et vérification
Proposer une mesure adaptée et les conditions permettant d’en vérifier l’effet.
Vos questions sur cette prestation
Testez-vous les API sans interface Web ?
Oui. La documentation, les rôles et les exemples d’appels permettent de cadrer les tests d’une API indépendamment de son interface.
Faut-il un environnement de préproduction ?
Il est souvent préférable pour isoler les données et les effets des essais. Les conditions d’un test en production doivent être définies et acceptées au cadrage.
Un pentest remplace-t-il une revue de code ?
Non. Le pentest observe et exploite certains comportements ; la revue de code permet d’examiner l’implémentation interne. Le choix dépend de la question à traiter.
Les cadres de conformité à examiner
Le CRA n’est pas applicable à tout site Web ou service SaaS par défaut : il faut examiner le produit logiciel et les éventuelles solutions de traitement de données à distance associées. ISO/IEC 27001 concerne le SMSI de l’organisation ; NIS 2 peut aussi s’appliquer à celle-ci selon son activité.
Cyber Resilience Act
Produits comportant des éléments numériques : déterminer le périmètre et les obligations du fabricant sur le cycle de vie.
Comprendre ce cadreISO/IEC 27001
Management de la sécurité de l’information : structurer le périmètre du SMSI, les risques, les responsabilités et les preuves de suivi.
Comprendre ce cadreLes autres prestations Web
Parlons de votre périmètre
Définissons les systèmes concernés, les objectifs et les conditions de la mission.
Parler de votre périmètre