Test d’intrusion web (pentest) Votre site internet résiste-t-il à une attaque ?
Site vitrine, boutique en ligne, espace client ou application métier : nous testons votre site comme le ferait un attaquant, avec votre autorisation et sans rien casser. Vous recevez la liste des failles réellement exploitables et la façon de les corriger.
Votre site est ouvert à tous, y compris aux attaquants
Un site internet est accessible jour et nuit, depuis le monde entier. Des programmes automatiques le visitent en permanence à la recherche d’une extension pas à jour, d’un formulaire mal protégé ou d’un mot de passe trop simple. Pas besoin d’être une cible célèbre : il suffit d’être vulnérable.
Les conséquences d’une faille vont bien au-delà de l’informatique :
- des données de clients dérobées, avec une obligation de déclaration à la CNIL ;
- une boutique en ligne détournée pour voler des numéros de carte ou rediriger les paiements ;
- un site défiguré, ou utilisé pour envoyer des arnaques en votre nom ;
- un site retiré des résultats de recherche, et une réputation à reconstruire.
Notre test gratuit de sécurité de site web vérifie ce qui est visible de l’extérieur : HTTPS, certificat, en-têtes de sécurité. C’est un bon premier aperçu. Le test d’intrusion va beaucoup plus loin : un spécialiste essaie réellement d’exploiter les failles.
Ce que nous testons
Les tests couvrent les familles de failles les plus exploitées sur le web, notamment celles du Top 10 de l’OWASP, la liste de référence publiée par la communauté de la sécurité des applications web.
Authentification
La connexion et les sessions
Peut-on deviner un mot de passe, contourner la double authentification, réutiliser une session ou réinitialiser le compte de quelqu’un d’autre ?
Contrôle d’accès
Les droits d’accès
Un client peut-il voir les commandes ou les documents d’un autre client en modifiant simplement l’adresse de la page ?
Injection
Les injections
Peut-on glisser des commandes dans un champ de recherche ou de formulaire pour lire ou modifier votre base de données ?
XSS
Le code malveillant dans les pages
Un attaquant peut-il faire exécuter du code dans le navigateur de vos visiteurs, pour voler leur session ou les rediriger ?
Téléversement
Les formulaires et les envois de fichiers
Un fichier piégé peut-il être déposé sur votre serveur ? Vos formulaires peuvent-ils être détournés pour envoyer des e-mails ?
Configuration
Le CMS et les extensions
WordPress, Prestashop ou autre : versions, extensions, comptes d’administration et fichiers sensibles accessibles.
Interfaces
Les API
Les échanges entre votre site, votre application mobile et vos logiciels sont-ils protégés et limités ?
Scénarios
La logique métier
Paiement, remises, stocks, devis : peut-on détourner le fonctionnement normal du site à son avantage ?
Boîte noire ou boîte grise ?
En boîte noire, nous partons sans aucune information, comme un attaquant extérieur. En boîte grise, vous nous fournissez un ou plusieurs comptes de test, par exemple un compte client : nous vérifions alors ce qu’un utilisateur connecté pourrait faire de trop. Pour un espace client ou une boutique, la boîte grise est souvent la plus utile.
Comment ça se passe
1
Le cadrage et l’autorisation
Nous définissons le périmètre, les dates et les règles. Vous signez une autorisation écrite, et nous prévenons votre hébergeur si nécessaire.
2
Les tests
Si possible sur une copie du site (préproduction). Sinon sur le site en ligne, avec des précautions pour ne pas perturber vos visiteurs.
3
Le rapport
Chaque faille est décrite avec sa gravité, la preuve de son exploitation et la correction recommandée.
4
La restitution
Nous présentons les résultats à la direction en langage clair, et en détail à votre développeur ou à votre agence web.
5
Le contre-test
Une fois les corrections faites, nous vérifions qu’elles sont efficaces et que rien n’a été oublié.
Ce que vous obtenez
- La liste des failles réellement exploitables, classées par gravité.
- Pour chacune, la correction à apporter, compréhensible par votre développeur.
- Une synthèse pour la direction, utile face à vos clients, votre assureur ou un appel d’offres.
- Un contre-test pour vérifier les corrections.
Tarif
Sur devis
Le prix dépend de la taille et de la complexité du site (nombre de pages dynamiques, d’espaces connectés, d’API) et du mode de test choisi. Nous vous remettons un devis après le cadrage.
Pourquoi choisir CyberIris
- Un interlocuteur attitré, qui connaît votre entreprise et vous répond directement.
- Une expérience de terrain : 15 ans en informatique et cybersécurité, dont un poste de RSSI dans une mutuelle.
- Des explications claires et des priorités adaptées à vos moyens, sans jargon.
- Un prestataire référencé sur Cybermalveillance.gouv.fr, le dispositif public d’assistance aux victimes.
- Deux agences, à La Bassée et à La Plagne Tarentaise, et des interventions partout en France.
Questions fréquentes sur le test d’intrusion de site web
Mon site est un simple site vitrine, est-ce utile ?
Un site vitrine sans formulaire ni espace client présente moins de risques, et le test gratuit suffit souvent pour commencer. Dès qu’il y a des comptes, des paiements, des données de clients ou une application métier, le test d’intrusion devient vraiment utile.
Le test peut-il casser mon site ?
Nous prenons des précautions : tests sur une copie du site quand c’est possible, sauvegarde vérifiée avant de commencer, techniques non destructives et horaires convenus avec vous. Nous ne cherchons jamais à saturer le site.
Faut-il prévenir mon hébergeur ou mon agence web ?
Oui, c’est préférable, et nous vous aidons à le faire. Certains hébergeurs demandent d’être informés avant tout test. Votre agence web est aussi la mieux placée pour appliquer les corrections.
Quelle différence avec votre test gratuit ?
Le test gratuit regarde la configuration visible de l’extérieur, en quelques secondes et sans rien tenter. Le test d’intrusion est réalisé par un spécialiste, qui essaie réellement de contourner les protections, avec votre autorisation.
Testez-vous aussi le reste de notre informatique ?
Oui. Notre page test d’intrusion présente aussi les tests de votre réseau interne, de vos accès à distance et de votre Wi-Fi.
Mon site a déjà été piraté, que faire ?
Ne supprimez rien et appelez-nous au 06 30 39 95 06. Notre page site internet piraté détaille les premiers gestes.
Découvrez vos failles avant les attaquants
Parlez-nous de votre site : nous vous proposons le test le plus adapté, sans engagement.
Ou appelez-nous au 06 30 39 95 06, joignable 7j/7 et 24h/24.