Pilier 1 : Attaque
Test d'intrusion (pentest)
Un test d'intrusion, ou pentest, consiste à attaquer réellement vos systèmes, avec votre autorisation écrite et sur un périmètre défini, pour prouver quelles failles sont exploitables. Vous obtenez des preuves concrètes et des corrections priorisées.
Mis à jour le 11 novembre 2026
Types de tests
| Test | Ce qui est testé |
|---|---|
| Web et WordPress | Site vitrine, extranet, portail client, back-office : authentification, injections, contrôle d'accès, extensions vulnérables. |
| Externe | Adresses IP exposées, VPN, messagerie, services accessibles depuis internet. |
| API et application métier | Accès aux données d'autres utilisateurs, contournement des droits, logique métier. |
| Interne et Active Directory | Ce qu'un attaquant peut faire une fois dans le réseau : élévation de privilèges, prise de contrôle du domaine. |
| Ingénierie sociale | Hameçonnage ciblé, appels, tentatives d'obtention d'informations auprès de vos équipes. |
| Contre-test | Vérification que les corrections ont bien fermé les failles trouvées. |
Un cadre strict
- Accord écrit qui fixe le périmètre, les dates et les techniques autorisées.
- Comptes de test fictifs, sans données réelles sensibles.
- Tests menés de façon contrôlée pour éviter toute interruption de service.
- Arrêt immédiat et alerte en cas de faille critique découverte.
Livrables
- Synthèse pour la direction : niveau de risque et priorités.
- Rapport technique : chaque faille avec sa preuve, son impact et sa correction.
- Contre-test après correction, pour clore le sujet.
Questions fréquentes
Un test d'intrusion est-il risqué pour la production ?
Le risque est maîtrisé : périmètre validé par écrit, techniques non destructives, créneaux choisis avec vous. Les tests les plus sensibles peuvent être menés sur un environnement de préproduction.
À quelle fréquence faire un pentest ?
Au minimum une fois par an sur vos applications exposées, et à chaque évolution importante : nouveau site, nouvelle application, migration.
Quelle différence entre pentest boîte noire et boîte grise ?
En boîte noire, nous partons sans information, comme un attaquant extérieur. En boîte grise, nous disposons de comptes utilisateurs : c'est plus efficace pour tester les droits et les données accessibles.