Offre · Attaquer
Test d'intrusion web, API et mobile : trouvez la faille avant eux.
Site, portail client, API ou application mobile : nos experts seniors attaquent vos applications comme le ferait un attaquant motivé. Ils enchaînent les failles jusqu'à l'impact réel, vous expliquent comment les corriger, puis vérifient que vos correctifs tiennent.
L'enjeu
Un scanner trouve des failles.Un attaquant trouve un chemin.
Les outils automatiques signalent des versions obsolètes et des en-têtes manquants. Ils ne voient pas qu'un utilisateur peut modifier la commande d'un autre, qu'une API renvoie bien plus de données que l'écran n'en affiche, ou qu'une application mobile garde un jeton valide en clair sur le téléphone. Ce sont pourtant ces failles de logique qui mènent aux fuites de données. Nos tests sont menés à la main, par des experts qui raisonnent comme un attaquant.
Ce que nous testons
Huit surfaces,une seule logique d'attaque.
Nous testons en boîte noire, grise ou blanche selon votre besoin. Chaque faille trouvée est exploitée jusqu'à son impact métier, pour que vous sachiez ce qu'elle coûterait vraiment.
-
Authentification
Connexion, MFA, mots de passe oubliés, sessions, fédération d'identité OIDC, SAML ou Keycloak.
Le risque : la prise de contrôle de comptes, jusqu'aux administrateurs.
-
Contrôle d'accès
Accès aux données d'un autre utilisateur, élévation de privilèges, fonctions d'administration exposées.
Le risque : un simple compte qui lit ou modifie tout.
-
Logique métier
Paiements, remises, workflows de validation, quotas : tout ce qu'un utilisateur malin pourrait détourner.
Le risque : une fraude invisible dans vos journaux.
-
API REST et GraphQL
Objets exposés en trop, routes non documentées, limites de débit, clés d'API et jetons.
Le risque : aspirer vos données en contournant l'interface.
-
Injections et fichiers
Injections SQL et de commandes, téléversement de fichiers, désérialisation, appels de serveur à serveur.
Le risque : l'exécution de code sur vos serveurs.
-
Application mobile
Analyse statique et dynamique iOS et Android, contournement du root, du jailbreak et de l'épinglage de certificat.
Le risque : une application démontée et rejouée par un attaquant.
-
Stockage et chiffrement
Données laissées sur le téléphone ou le navigateur, secrets dans le code, chiffrement mal utilisé.
Le risque : des données sensibles lisibles sur un appareil perdu.
-
Back-end et configuration
Serveurs, en-têtes, CORS, environnements de recette exposés, dépendances vulnérables.
Le risque : une porte d'entrée oubliée à côté de l'application.
Le déroulé
Du cadrage au re-test,sans surprise.
Un périmètre écrit, des règles d'engagement signées et un interlocuteur unique du premier échange au re-test.
Cadrage
Périmètre, environnements, comptes de test, fenêtres et contacts d'urgence dans une convention d'audit.
Reconnaissance
Cartographie de l'application, des API et des flux, comme le ferait un attaquant.
Attaque
Tests manuels par des experts seniors, appuyés par nos propres outils.
Restitution
Rapport chiffré, synthèse pour la direction et séance de travail avec vos développeurs.
Re-test
Vérification des correctifs et attestation à présenter à vos clients.
Les failles critiques sont signalées dès leur découverte, sans attendre le rapport final.
Ce que vous recevez
Un rapport que vosdéveloppeurs utilisent vraiment.
Chaque constat est expliqué, prouvé et accompagné d'un correctif adapté à votre technologie. Votre direction comprend le risque en une page.
- Synthèse pour la direction, sans jargon
- Score CVSS, preuves et impact métier par faille
- Correctifs priorisés, adaptés à votre stack
- Attestation de test et de re-test
Modification de la commande d'un autre client via l'API
L'API vérifie que l'utilisateur est connecté, mais pas que la commande lui appartient. En changeant l'identifiant dans la requête, un client peut modifier l'adresse de livraison d'un autre.
Le bon moment
Quand testervos applications ?
Un test d'intrusion se planifie au bon moment du cycle de vie de vos applications, pas seulement quand un client l'exige.
-
Avant une mise en production
Nouvelle application, nouveau portail ou refonte majeure.
Vous livrez : sans ouvrir de porte que personne n'a encore vue.
-
Avant un grand client
Questionnaire sécurité, annexe contractuelle ou appel d'offres.
Vous obtenez : une preuve indépendante et récente.
-
Chaque année
Vos applications évoluent, les techniques d'attaque aussi.
Vous gardez : un niveau de sécurité mesuré, pas supposé.
-
Pour votre certification
ISO 27001, NIS2 ou exigences sectorielles.
Vous cochez : l'exigence avec un livrable reconnu.
- Production préservéetests calibrés, fenêtres et contacts d'urgence convenus
- Experts seniorspas de scanner revendu comme un test d'intrusion
- Confidentialitérapport chiffré, données détruites en fin de mission
- Re-test inclusla preuve que vos correctifs tiennent
Questions fréquentes
Vos questions,nos réponses.
Une question qui n'est pas ici ? Écrivez-nous à contact@soya-cyber.fr.
Combien de temps dure un test d'intrusion d'application ?
Le plus souvent entre cinq et quinze jours de test selon le nombre de fonctionnalités, de rôles et d'API, et l'éventuelle application mobile. La durée exacte est fixée lors du cadrage, avant tout démarrage.
Boîte noire, grise ou blanche : que choisir ?
La boîte noire simule un attaquant sans aucun accès. La boîte grise lui donne des comptes utilisateurs, ce qui permet de tester les droits et la logique métier : c'est le choix le plus courant. La boîte blanche ajoute l'accès au code source pour aller plus loin dans le même temps.
Testez-vous en production ?
C'est possible, avec des techniques et des fenêtres définies par écrit pour préserver la disponibilité. Un environnement de recette fidèle à la production reste l'idéal pour les tests les plus intrusifs.
Testez-vous les applications iOS et Android ?
Oui. Nos experts sont spécialisés dans les applications mobiles sensibles : banque, paiement, identité, données réglementées. Analyse statique et dynamique, contournement des protections et test des API back-end inclus.
Le re-test est-il compris ?
Oui. Après vos corrections, nous vérifions chaque faille signalée et vous remettons une attestation précisant le périmètre, les dates et le statut des failles, sans détail exploitable.