Test d'intrusion d'application web
Une attaque contrôlée et à dominante manuelle sur votre application web, menée comme le ferait un véritable attaquant. Nous alignons la couverture sur l'OWASP Web Security Testing Guide, vérifions les contrôles au regard d'OWASP ASVS et enchaînons des chemins d'attaque réels et exploitables que les scanners manquent.
Ce que nous testons
La couverture s'appuie sur l'OWASP Web Security Testing Guide (WSTG v4.2), dont la section 4 définit douze catégories de test, de l'authentification et l'autorisation jusqu'à la logique métier et au côté client. Nous ajustons la profondeur à votre risque et à votre objectif d'assurance, en mode black-box, grey-box ou white-box.
- Authentification, gestion des sessions et autorisation (contrôle d'accès rompu)
- Injection, validation des entrées et désérialisation non sécurisée
- Failles de logique métier et conception non sécurisée
- Défaillances cryptographiques et sécurité du transport
- Mauvaise configuration de sécurité et gestion des erreurs exposée
- Problèmes côté client (XSS, DOM, postMessage) et points de contact API
Une méthodologie à dominante manuelle
Les outils automatisés sont utiles pour la couverture en largeur, mais ASVS lui-même note qu'ils ne peuvent pas vérifier les exigences plus complexes ni celles liées à la logique métier et au contrôle d'accès. Nous menons en priorité des tests manuels et utilisons l'outillage en appui, en suivant un déroulé de mission structuré.
- 1
Cadrage & règles d'engagement
Nous convenons des limites, du modèle de menace, des comptes et de la fenêtre de test, et signons un NDA avant tout accès.
- 2
Cartographie & énumération
Nous cartographions l'application, ses rôles et ses points d'entrée afin de planifier une couverture pilotée par WSTG de chaque surface atteignable.
- 3
Test manuel
Nous parcourons à la main les catégories WSTG : authentification, autorisation, injection, logique métier, etc.
- 4
Exploitation & enchaînement
Nous confirmons l'impact avec une preuve de concept et enchaînons des problèmes mineurs pris isolément en chemins d'attaque réalistes.
- 5
Rapport & contre-test gratuit
Vous recevez un rapport priorisé ; après remédiation, nous recontrôlons les points corrigés sans frais supplémentaires, dans le délai fixé par le SoW.
Ce que vous recevez
La même profondeur de livrable que notre exemple de rapport : une synthèse à l'attention de la direction, plus une entrée complète pour chaque constat, avec des références mises en correspondance avec des standards reconnus afin que la couverture soit auditable.
- Synthèse à l'attention de la direction et posture de risque globale pour les décideurs
- Chaque constat : description, impact, preuve, étapes de reproduction et remédiation
- Sévérité notée avec CVSS 3.1 et traduite en risque métier
- Références au CWE, à l'identifiant de test WSTG et à l'exigence ASVS correspondante
- Constats cadrés au regard des catégories de risque de l'OWASP Top 10 2025
- Contre-test gratuit des points corrigés dans le délai fixé par le SoW, consigné dans un rapport mis à jour ou une synthèse de contre-test
Ancré dans des standards de sécurité web reconnus
Nous mettons la couverture en correspondance avec OWASP WSTG v4.2 et vérifions au regard d'OWASP ASVS 5.0.0 ; à noter qu'ASVS 5.0 a redéfini le niveau 1, aussi choisissons-nous le niveau de vérification selon le risque plutôt que de traiter L1 comme un passage en black-box. Le risque est cadré au regard de l'OWASP Top 10 2025, et les constats sont notés avec CVSS 3.1 (FIRST publie également la v4.0 ; nous indiquons la version appliquée à chaque constat).