Un distributeur alimentaire de Saint-Hyacinthe demande trois soumissions pour « un pentest ». Le premier fournisseur répond par une question : externe ou interne ? Le deuxième propose les deux. Le troisième envoie un prix sans rien demander. La directrice des finances, elle, voulait simplement savoir si l'entreprise était bien protégée.
La distinction est pourtant simple. Le test externe répond à la question : « Un inconnu sur Internet peut-il entrer chez nous ? » Le test interne, lui, répond à une autre : « Si quelqu'un est déjà entré, jusqu'où peut-il aller ? »
Les deux sont utiles, mais rarement au même moment ni avec le même budget. Voici comment ils se distinguent et par lequel commencer selon votre situation.
En bref
- Le test externe attaque votre périmètre visible sur Internet : pare-feu, VPN, portails, courriel, sites Web.
- Le test interne part du principe qu'un attaquant est déjà dans le réseau, souvent après un hameçonnage réussi.
- Une PME entièrement infonuagique commence souvent par l'externe; une PME avec serveurs locaux et Active Directory a tout intérêt à faire l'interne.
- Dans tous les cas, une autorisation écrite est obligatoire avant le premier paquet envoyé.
Le test externe : ce que voit un attaquant sur Internet
Le test externe simule un attaquant qui ne connaît que votre nom et votre domaine. Il commence par la reconnaissance : adresses IP publiques, sous-domaines, services exposés, adresses courriel des employés trouvées en ligne. Puis il tente d'exploiter ce qu'il trouve, selon les phases décrites par des guides reconnus comme le NIST SP 800-115 : planification, découverte, attaque, rapport.
Les constats typiques chez une PME :
- un bureau à distance (RDP) ouvert directement sur Internet « temporairement » depuis trois ans;
- l'interface d'administration du pare-feu accessible de l'extérieur;
- un VPN ou un pare-feu qui n'a pas reçu un correctif de sécurité critique;
- un vieux sous-domaine oublié, hébergé chez un ancien fournisseur;
- un portail Web dont la connexion n'exige pas d'authentification multifacteur.
Le test externe est relativement court et peu intrusif pour vos opérations. Il ne demande presque rien à vos employés, à part fournir la liste des adresses et des domaines visés.
Le test interne : quand l'attaquant est déjà dans la place
La plupart des attaques sérieuses ne commencent pas par un exploit spectaculaire sur le pare-feu. Elles commencent par un employé qui clique sur un lien, ou par des identifiants volés. Le test interne reproduit ce scénario : le testeur reçoit l'équivalent d'un poste de travail ordinaire, parfois un compte d'utilisateur standard, et cherche à devenir administrateur.
Dans un réseau Windows avec Active Directory, il trouve souvent :
- des protocoles de résolution de noms hérités (LLMNR, NBT-NS) qui permettent d'intercepter des identifiants;
- des mots de passe faibles ou réutilisés, y compris sur des comptes de service;
- le même mot de passe administrateur local sur tous les postes;
- des partages réseau lisibles par tout le monde, avec des fichiers de paie ou des mots de passe dedans;
- aucune séparation entre les bureaux, les serveurs et, chez un manufacturier, les équipements de production.
Ce qui rend le test interne précieux, c'est le temps. Selon une étude de CDW publiée en 2025, le délai de détection d'un incident dans les petites organisations canadiennes est passé de 4,0 jours en 2024 à 6,8 jours en 2025. Pendant ce temps, un attaquant qui circule librement dans votre réseau peut atteindre vos sauvegardes avant que quiconque ne s'en aperçoive.
Une variante répandue est le test de brèche présumée. Plutôt que de passer des jours à tenter d'hameçonner un employé, le testeur part d'identifiants que vous lui fournissez pour un compte d'utilisateur standard. C'est un raccourci pragmatique : vous ne payez pas pour prouver que quelqu'un, un jour, cliquera sur un lien. Vous payez pour savoir ce qui se passe ensuite, et en combien de temps votre équipe ou votre fournisseur TI s'en rend compte.
Externe ou interne : le tableau comparatif
| Critère | Test externe | Test interne |
|---|---|---|
| Question posée | Peut-on entrer depuis Internet ? | Jusqu'où peut aller un intrus ? |
| Point de départ | Internet, sans accès | Un poste ou un compte ordinaire |
| Cibles | IP publiques, VPN, portails, sites, courriel | Active Directory, serveurs, postes, partages |
| Constats typiques | Services exposés, correctifs manquants | Mots de passe faibles, droits excessifs, réseau à plat |
| Préparation de votre côté | Liste des IP et domaines | Accès réseau, compte de test, fenêtres de test |
| Ordre de grandeur du prix | Petit test externe : bas de l'échelle | Variable : nombre de postes, de serveurs et de sites |
Les fournisseurs canadiens publient des fourchettes très larges, de quelques milliers à plusieurs dizaines de milliers de dollars selon la portée (par exemple, Packetlabs, août 2026). Le retest est souvent facturé à part. Pour comprendre ce qui fait grimper la facture, lisez notre article sur le prix d'un test d'intrusion au Québec.
Deux zones grises méritent une mention. Le Wi-Fi se teste généralement sur place et se rattache au volet interne : un réseau invité mal isolé mène souvent droit aux serveurs. Les services infonuagiques (Microsoft 365, Google Workspace, logiciels en ligne) ne sont ni vraiment « externes » ni « internes » : leur risque principal vient de la configuration, que l'on vérifie plutôt par un audit dédié.
Par lequel commencer ? Trois profils de PME
Un cabinet comptable de Laval, 15 employés, tout dans Microsoft 365. Aucun serveur au bureau, des portables et un logiciel comptable infonuagique. Le réseau interne se résume au Wi-Fi et à une imprimante. Ici, un test externe ciblé, combiné à une revue de la configuration Microsoft 365, donne plus de valeur qu'un test interne.
Un manufacturier de la Beauce, 60 employés, serveurs sur place. Active Directory, serveur de fichiers, logiciel de gestion de production, quelques automates sur le plancher. Le test interne est prioritaire : c'est là que se jouerait un rançongiciel. L'externe peut suivre, ou faire partie du même mandat pour simplifier la coordination.
Une clinique de physiothérapie avec télétravail. Dossiers patients, VPN pour l'administration, portail de prise de rendez-vous. Les deux tests se justifient, car le VPN fait le pont entre l'extérieur et l'intérieur. Commencez par l'externe si le budget est serré, puis planifiez l'interne dans l'année.
Si vous hésitez encore entre un test d'intrusion, un audit et un simple balayage, notre comparatif audit, pentest ou scan de vulnérabilités vous aidera à trancher.
Préparer le test : la checklist
Un test bien préparé coûte moins cher et produit de meilleurs résultats. Avant le jour J :
- Signer une autorisation écrite qui précise la portée, les dates et les techniques permises. Sans elle, le test constitue une utilisation non autorisée d'ordinateur au sens de l'article 342.1 du Code criminel.
- Confirmer que vous êtes autorisé à faire tester chaque cible, surtout celles hébergées chez un tiers.
- Dresser la liste exacte des adresses IP, domaines et réseaux visés, et de ceux à exclure.
- Désigner un contact d'urgence joignable pendant toute la durée du test.
- Prévenir votre fournisseur TI ou votre service géré, pour éviter qu'il bloque le testeur en pensant à une vraie attaque.
- Vérifier que les sauvegardes sont récentes et restaurables.
- Fixer les fenêtres de test, notamment pour les systèmes de production sensibles.
- Prévoir dans le calendrier du temps pour corriger, puis pour le retest.
Après le test : du rapport à l'action
Un test d'intrusion ne vaut que par ce que vous en faites. Le rapport classe les vulnérabilités par gravité, explique comment elles ont été exploitées et propose des corrections. Pour en tirer le maximum, lisez notre guide pour lire un rapport de test d'intrusion sans être technicien.
Notre équipe réalise des tests externes et internes, avec un rapport rédigé pour la direction autant que pour l'équipe TI. Les détails de la démarche sont sur notre page test d'intrusion.
Questions fréquentes
Un test d'intrusion interne exige-t-il que le testeur se déplace dans nos bureaux ?+
Pas forcément. Le test interne peut souvent se faire à distance, à partir d'une petite machine virtuelle ou d'un boîtier branché sur votre réseau, ou d'un accès VPN fourni pour l'occasion. Une présence sur place reste utile pour tester le Wi-Fi, les prises réseau accessibles au public ou la sécurité physique. Le choix se fait lors de la définition de la portée.
Un test d'intrusion peut-il faire tomber nos systèmes ?+
Le risque existe, mais il est faible avec un fournisseur sérieux. Les règles d'engagement précisent ce qui est permis, les techniques jugées risquées (déni de service, exploitation de systèmes fragiles) sont exclues ou planifiées, et un contact d'urgence peut arrêter le test en tout temps. Des sauvegardes récentes et vérifiées avant le début du test sont une bonne précaution.
À quelle fréquence faut-il refaire un test externe et un test interne ?+
Une fois par année est un rythme courant pour une PME, ainsi qu'après tout changement important : nouveau pare-feu, migration infonuagique, ouverture d'un accès à distance, acquisition. Le périmètre externe change plus vite que le réseau interne; certaines organisations le font donc tester plus souvent ou le complètent par un balayage de vulnérabilités régulier.
Sources
- 1.NIST SP 800-115 : Technical Guide to Information Security Testing and Assessment
- 2.Code criminel, art. 342.1 : utilisation non autorisée d'ordinateur
- 3.Packetlabs : coût moyen d'un test d'intrusion au Canada (août 2026)
- 4.Stingrai : coût moyen d'un pentest au Canada (2026)
- 5.CDW Canada : tendances TI et cybersécurité pour les petites entreprises (2025)