Un test d'intrusion (ou pentest) répond à une question simple : si quelqu'un voulait vraiment entrer, jusqu'où irait-il ? Notre équipe se met dans la peau d'un attaquant et utilise de vraies techniques, dans un cadre strict que vous approuvez par écrit.
Contrairement à un outil automatisé, nous exploitons les failles manuellement, nous les combinons et nous mesurons leur impact concret : accès aux courriels de la direction, aux dossiers clients, au logiciel comptable. Vous savez enfin ce qui est grave et ce qui peut attendre.
Trois types de tests, selon votre réalité
Test d'intrusion externe
Nous attaquons depuis Internet, comme n'importe qui dans le monde pourrait le faire : site Web, portails, messagerie, accès à distance (RPV, bureau à distance), pare-feu et services oubliés. C'est la première surface qu'un attaquant explore.
Test d'intrusion interne
Nous partons d'un poste compromis ou d'une prise réseau dans vos bureaux. C'est le scénario de l'employé qui a cliqué sur le mauvais lien. Nous évaluons ce qu'un attaquant pourrait atteindre ensuite : Active Directory, serveurs de fichiers, sauvegardes, comptes à privilèges. Le test se fait sur place, partout au Québec, ou à distance au moyen d'un accès sécurisé convenu avec votre équipe TI.
Vous hésitez entre les deux ? Notre article sur le test d'intrusion externe ou interne vous aide à choisir.
Test d'application web
Pour votre portail client, votre boutique en ligne ou votre application métier. Nous suivons la méthodologie de l'OWASP (Top 10 et guide de test WSTG) : contrôle d'accès, authentification, gestion des sessions, injections et logique d'affaires. Les tests se font avec des comptes de test, idéalement sur un environnement de préproduction. Pour aller plus loin, lisez notre article sur le pentest d'application web et l'OWASP Top 10.
Un cadre clair avant le premier test
Aucun test sans autorisation écrite
Au Canada, utiliser un ordinateur sans autorisation est une infraction au Code criminel (art. 342.1). Nous ne commençons jamais sans une autorisation signée par une personne habilitée de votre entreprise. Si vos systèmes sont hébergés chez un tiers, son accord peut aussi être nécessaire.
Avant de commencer, nous rédigeons avec vous les règles d'engagement. Ce document précise :
- les domaines, adresses et applications visés, et ceux qui sont exclus ;
- les dates et les plages horaires des tests ;
- les techniques permises et interdites (par exemple, aucun déni de service) ;
- les personnes à joindre en cas d'urgence, des deux côtés ;
- la façon dont nous protégeons les données consultées pendant le mandat.
La portée et le prix sont fixés dans une soumission avant le début des travaux. Pas de dépassement surprise.
Un rapport priorisé, lisible et utile
Le rapport s'adresse à deux publics. La direction obtient un sommaire exécutif en français clair : le niveau de risque, les scénarios d'attaque démontrés et les priorités. L'équipe technique obtient, pour chaque vulnérabilité, une description, une cote de sévérité, les preuves (captures d'écran, requêtes), les étapes pour la reproduire et la correction recommandée.
Une fois vos correctifs appliqués, nous faisons une contre-vérification pour confirmer que les failles sont bien fermées. Vous obtenez alors une lettre d'attestation à présenter à vos clients ou à votre assureur. Pour savoir comment tirer le maximum de ce document, consultez notre guide pour lire un rapport de test d'intrusion.
Pas encore prêt pour un test d'intrusion ? Un audit de cybersécurité est souvent la meilleure première étape : il vous permet de corriger les évidences avant de payer quelqu'un pour les trouver.