Audit d’applications Web, d’API et de code
Examiner les mécanismes de sécurité de l’application avec ses concepteurs.
Une prestation adaptée à votre application
L’audit applicatif examine l’architecture, les traitements, les accès et les échanges à partir de la documentation, du code ou des configurations disponibles. Il permet de comprendre les protections et d’identifier les écarts avant une mise en service ou lors d’une évolution. La profondeur de revue et les composants étudiés sont définis avec vos équipes.
Architecture et intégrations
Cartographier les interfaces, les services et les flux. Examiner les frontières de confiance et les dépendances métier.
Code et traitements
Revoir les composants ciblés, la validation des entrées et les accès aux données. Analyser les erreurs, les secrets et les mécanismes de protection.
Identités et données
Examiner les rôles, les autorisations, les sessions et l’exposition des informations, notamment entre utilisateurs ou organisations.
Configuration applicative
Étudier les services, les paramètres de déploiement et les communications. Relier les observations à la maintenance des dépendances.
Comment se déroule la mission ?
Définir la profondeur
Choisir les applications, les API et les parties du code. Réunir les accès, les schémas et les interlocuteurs utiles.
Examiner et vérifier
Combiner revue documentaire, échanges et contrôles techniques. Confronter les mécanismes attendus à leur implémentation.
Organiser les corrections
Restituer les écarts, leurs impacts et les recommandations. Préparer les nouveaux contrôles ou un pentest complémentaire.
Ce que vous obtenez
- Périmètre et mécanismes applicatifs examinés.
- Rapport de revue avec observations et recommandations techniques.
- Priorités de correction et vérifications à prévoir.
Les intégrations d’un ERP médical
L’audit a relié l’architecture et les flux aux mécanismes d’authentification, à la gestion des accès, aux communications et aux configurations des interfaces. Les recommandations ont aidé à prioriser la sécurisation du nouvel environnement applicatif.
Des constats utilisables par vos équipes
Observation et preuves
Comprendre ce qui a été observé, les accès utilisés et les limites du contrôle.
Impact et priorité
Relier le constat à ses conséquences dans le contexte du système étudié.
Correction et vérification
Proposer une mesure adaptée et les conditions permettant d’en vérifier l’effet.
Vos questions sur cette prestation
Quelle différence avec le pentest Web ?
L’audit étudie les mécanismes internes avec les éléments disponibles. Le pentest cherche à valider des scénarios d’attaque depuis les accès convenus. Ils peuvent se compléter.
Le code source est-il obligatoire ?
Non pour toute analyse applicative, mais il est nécessaire pour une revue de code. Sans lui, la mission repose sur d’autres éléments et ses limites sont précisées.
Peut-on auditer seulement une API ?
Oui. Les endpoints, les rôles, les données et les intégrations incluses sont définis au cadrage.
Les cadres de conformité à examiner
Le CRA n’est pas applicable à tout site Web ou service SaaS par défaut : il faut examiner le produit logiciel et les éventuelles solutions de traitement de données à distance associées. ISO/IEC 27001 concerne le SMSI de l’organisation ; NIS 2 peut aussi s’appliquer à celle-ci selon son activité.
Cyber Resilience Act
Produits comportant des éléments numériques : déterminer le périmètre et les obligations du fabricant sur le cycle de vie.
Comprendre ce cadreISO/IEC 27001
Management de la sécurité de l’information : structurer le périmètre du SMSI, les risques, les responsabilités et les preuves de suivi.
Comprendre ce cadreLes autres prestations Web
Parlons de votre périmètre
Définissons les systèmes concernés, les objectifs et les conditions de la mission.
Parler de votre périmètre