Tests d'intrusion et sécurité pour le SaaS
Pour une entreprise SaaS, la sécurité conditionne les ventes : les prospects réclament votre SOC 2 et votre pentest avant de signer. Nous testons l'isolation entre locataires, l'application web et ses API, ainsi que le cloud qui l'héberge, et associons ces tests à la préparation à l'audit. À dominante manuelle, sous NDA, avec un contre-test gratuit dans le délai fixé par le SoW.
Ce qui est en jeu dans le SaaS
Le risque qui définit le SaaS est l'isolation des locataires : dans une plateforme partagée, le bug du pire scénario permet à un client d'atteindre les données d'un autre. À ses côtés se trouvent les problèmes de configuration web, API et cloud qui déterminent si votre plateforme est digne de confiance.
Isolation des locataires
IDOR/BOLA inter-locataires, où un client lit ou modifie les données d'un autre. C'est la faille multi-locataire la plus lourde de conséquences.
Autorisation entre rôles
Autorisation défaillante au niveau des fonctions et des objets entre les rôles administrateur, membre et lecteur. Seuls des tests multi-rôles permettent de la détecter.
Mauvaise configuration cloud
IAM trop permissif, stockage public et journalisation insuffisante. L'essentiel du risque cloud se trouve dans la configuration, invisible de l'extérieur.
SOC 2, prérequis commercial
Sans préparation SOC 2 ni pentest crédible, les contrats grands comptes patinent, car les services achats exigent généralement les deux avant de signer.
Comment nous testons les plateformes SaaS
Nous nous concentrons sur ce qui fait ou défait une plateforme SaaS : l'application web, l'API multi-locataire testée entre les rôles et les locataires, la configuration cloud sur laquelle elle s'exécute, et la préparation SOC 2 pour que les tests se transforment en preuves que vos acheteurs acceptent.
Ancré dans les standards que vérifient les acheteurs SaaS
Les tests d'application et d'API s'alignent sur OWASP WSTG v4.2, l'OWASP API Security Top 10 (2023) et OWASP ASVS 5.0 ; la configuration cloud est examinée au regard des CIS Benchmarks ; la préparation SOC 2 s'aligne sur les Trust Services Criteria de l'AICPA. Nous fournissons la préparation, l'analyse d'écart et le pentest associé ; le rapport SOC 2 est émis par un cabinet CPA indépendant, pas par nous. Les constats sont notés avec CVSS 3.1.
Ce que vous pouvez attendre d'une mission SaaS
Vexaro conçoit des produits et des infrastructures en plus de les tester. C'est pourquoi nous examinons de près la logique multi-locataire et rédigeons des rapports que vos ingénieurs peuvent directement exploiter. Nous ne citons aucun client.
- Tests à dominante manuelle de l'application web, de ses API et de l'isolation des locataires
- Tests multi-rôles et multi-locataires qui font remonter les failles d'isolation
- Préparation SOC 2 plus les preuves de pentest que vos acheteurs réclament
- Des rapports sur lesquels vos ingénieurs peuvent agir, avec un contre-test gratuit des correctifs dans le délai fixé par le SoW
- NDA avant tout accès ; preuves chiffrées, puis supprimées ou restituées