Pentest
sur mesure.
Vous pensez que votre SI tient la route. Tant que personne n'a vraiment essayé d'entrer, vous n'en savez rien. Nos experts se mettent dans la peau d'un attaquant et tentent de rentrer chez vous : ils cherchent les failles, les exploitent, poussent aussi loin qu'ils peuvent. À la sortie : deux rapports — un pour la direction, un pour les équipes IT — et un re-test à 30 jours pour valider vos corrections.
Test d'intrusion réaliste sur le périmètre de votre choix : web, API, infrastructure, Active Directory, cloud ou mobile. Méthodologie OWASP et MITRE ATT&CK, exploitation manuelle au-delà du scan automatisé, chaînage de vulnérabilités. Rapport exécutif, rapport technique avec CVSS et PoC, plan de remédiation priorisé, et re-test inclus à J+30 pour valider les correctifs.
Méthodologie OWASP & MITRE ATT&CK. Convention de confidentialité signée avant toute intervention.
Entreprises à partir de 5 M€ de CA : direction générale, DSI ou RSSI qui veut vérifier la solidité réelle de son système avant un moment clé. Vous décidez du périmètre, on s'occupe de l'attaque.
Vous lancez un nouveau produit. Un client important exige une preuve de sécurité. Votre assureur pose des questions. Ou aucun test n'a jamais été fait et vous voulez savoir où vous en êtes vraiment.
PME et ETI avec une équipe IT ou un RSSI, souhaitant un test offensif sur un périmètre précis : mise en production, audit de sécurité applicatif, validation d'architecture ou conformité.
Définition du périmètre et des URL/IP cibles. Comptes de test si test authentifié. Validation direction et convention de test signée avant toute action offensive.
Applications web, API REST/GraphQL, portails clients. Injection, XSS, authentification, logique métier.
Réseau interne, Active Directory, serveurs. Escalade de privilèges, mouvements latéraux.
AWS, Azure ou GCP. IAM, stockage exposé, configurations Kubernetes et conteneurs.
Applications iOS et Android. Stockage local, chiffrement, interception du trafic.
On décide ensemble de ce qu'on attaque
On choisit le périmètre : votre site web, votre réseau interne, votre cloud… On fixe les règles et les horaires. Vous signez une convention : rien ne se passe sans votre accord écrit.
Nos experts se mettent dans la peau d'un attaquant
Un scanner automatique ne fait pas ce travail-là. Ils cherchent à la main, exploitent une faille, rebondissent vers la suivante, et regardent jusqu'où ils peuvent aller. Le but : reproduire ce qu'un attaquant ferait vraiment chez vous, pas dérouler une checklist.
On vous alerte immédiatement si c'est grave
Si on découvre une faille critique en cours de test, vous êtes prévenu le jour même. Vous n'attendez pas le rapport final pour réagir sur l'urgent.
On vous explique tout, sans jargon
Une session d'une à deux heures avec votre direction et vos équipes. On montre ce qu'on a trouvé, l'impact pour votre activité, et les actions à mener en priorité.
On revient vérifier 30 jours plus tard
Après vos corrections, on reteste les failles critiques pour confirmer qu'elles sont bien fermées. On vous remet une attestation, présentable à vos clients et à votre assureur.
On priorise selon ce qu'une attaque vous coûterait vraiment, pas selon le score d'une faille sur une grille technique. Trois niveaux d'impact, du plus grave au plus discret.