Sur devis
Nous cherchons les failles exploitables de votre site ou de votre application, et vous recevez un rapport priorisé avec un plan de correction. Sur devis, et toujours avec votre autorisation écrite avant le moindre test.
Chaque faille du rapport est décrite, classée par gravité et accompagnée de sa correction.
Gravité : élevée
Un client peut consulter les factures d'un autre client
En changeant le numéro dans l'adresse de la page, un utilisateur connecté accède aux factures qui ne sont pas les siennes.
Correction proposée
Vérifier côté serveur que chaque facture demandée appartient bien à l'utilisateur connecté.
Exemple de constat type, tiré d'une faille courante.
Trois réglages publics décident si un fraudeur peut envoyer des emails en votre nom, par exemple un faux RIB.
Ces réglages sont publics : nous les vérifions sans aucun test sur vos systèmes.
Connexion, droits d'accès, formulaires, paiement, envoi de fichiers : les points où une faille coûte cher.
Avec un accès au code, on trouve davantage et plus vite. C'est l'audit que nous recommandons.
En-têtes de sécurité, HTTPS, DNS, et protection des emails contre l'usurpation (SPF, DKIM, DMARC).
Les réglages qui protègent contre le piratage de boîte mail et la fraude au faux RIB.
Résistance aux instructions cachées et aux fuites de données, un risque encore rarement vérifié.
Après vos corrections, on vérifie que chaque faille est bien refermée.
On définit ensemble ce qui doit être testé et pourquoi.
Périmètre, dates et règles écrits et signés avant tout test.
Dans la fenêtre convenue, sans action destructrice.
Failles classées par gravité, avec comment les corriger.
Vérification des corrections, si vous le souhaitez.
Aucun test n'est lancé avant la signature de l'autorisation par une personne habilitée. Tout ce qui n'y figure pas reste hors périmètre.
Un audit réduit fortement le risque, il ne peut pas garantir qu'il ne reste aucune faille. Nous nous engageons sur la méthode et la rigueur.
Une faille critique facile à exploiter vous est signalée sans attendre le rapport final.
Le rapport est transmis chiffré à vos seuls destinataires. Les données collectées sont supprimées en fin de mission.
Non, et personne ne le peut honnêtement. Un audit se fait sur un périmètre et un temps donnés. Il réduit fortement le risque et vous donne un plan de correction clair.
Ce n'est pas obligatoire, mais c'est recommandé : avec le code, on trouve davantage de failles, plus vite, donc pour un budget moindre.
Nous recommandons un environnement de test identique à la production. Si vous choisissez de tester la production, les tests restent non destructifs et vous êtes informé des risques avant de signer.
Elle vous est signalée immédiatement par un canal sécurisé, sans attendre le rapport, pour que vous puissiez la corriger au plus vite.
C'est chiffré sur devis selon le périmètre : nombre d'applications, accès ou non au code, contre-audit inclus ou non.
Décrivez votre besoin : nous revenons vers vous sous 24 h avec un premier avis et les questions utiles pour le devis.
