Audit sécurité
Audit de sécurité de site web
Un audit de sécurité identifie les failles de votre site ou application avant qu'elles ne soient exploitées, et fournit un plan de correction priorisé.
- Vulnérabilités vérifiées, sans faux positifs
- Rapport compréhensible par des non-spécialistes
- Plan de correction priorisé
Basés à Nantes · Projets partout en France
Objectif
Trouver les failles avant ceux qui les exploitent
Un audit de sécurité consiste à examiner votre site ou votre application comme le ferait un attaquant, mais avec votre autorisation et dans un cadre défini. L'objectif est d'identifier les vulnérabilités exploitables, d'évaluer leur gravité réelle et de vous donner les moyens de les corriger.
Nous combinons des outils d'analyse automatisée et une vérification manuelle. Les outils détectent rapidement les problèmes connus ; la vérification manuelle écarte les fausses alertes et identifie les problèmes de logique que les outils ne voient pas.
Points de contrôle
Ce que nous examinons
- Composants et dépendances
Versions du CMS, des extensions, des bibliothèques et du serveur, comparées aux vulnérabilités publiques connues.
- Authentification et sessions
Robustesse de la connexion, protection contre les tentatives répétées, gestion des sessions et des cookies.
- Contrôle des accès
Vérification qu'un utilisateur ne peut pas accéder aux données ou fonctions d'un autre.
- Validation des entrées
Recherche d'injections et de failles permettant d'exécuter du code ou de manipuler des données.
- Configuration
En-têtes de sécurité, HTTPS, fichiers exposés, messages d'erreur trop bavards, répertoires accessibles.
- Données sensibles
Exposition involontaire de données personnelles, de sauvegardes ou de fichiers de configuration.
Configuration
La configuration, une source fréquente de failles
Beaucoup de vulnérabilités ne viennent pas du code mais de la configuration : en-têtes de sécurité absents, fichiers sensibles accessibles, cookies insuffisamment protégés. Ces points sont souvent simples à corriger et réduisent sensiblement la surface d'attaque.
Déroulement
Les étapes d'un audit
- 01
Cadrage et autorisation
Définition du périmètre, des dates, des comptes de test et signature d'une autorisation écrite.
LivrableConvention d'audit
- 02
Analyse
Analyse automatisée puis tests manuels sur le périmètre convenu, sans impact sur vos utilisateurs.
LivrableConstats vérifiés
- 03
Rapport
Synthèse pour la direction, détail technique pour les équipes, gravité et recommandations.
LivrableRapport d'audit
- 04
Restitution
Présentation des résultats et construction du plan de correction.
LivrablePlan priorisé
- 05
Contre-audit
Vérification des corrections apportées.
LivrableAttestation de vérification
Livrable
Un plan de correction directement utilisable
Le rapport se termine par un plan d'action : chaque correction a une priorité, un responsable et une échéance. Votre équipe, votre prestataire ou la nôtre peut le mettre en œuvre immédiatement.
À savoir avant de démarrer
Cadre légal
Un audit de sécurité n'est réalisé qu'avec l'accord écrit du propriétaire du système, sur un périmètre et à des dates définis. Si votre site est hébergé chez un tiers, son autorisation peut aussi être nécessaire.
Un audit reflète l'état du système à une date donnée ; de nouvelles vulnérabilités peuvent apparaître ensuite. C'est pourquoi nous recommandons des contrôles réguliers.
Audit sécurité
Questions fréquentes
Une question qui ne figure pas ici ? Posez-la directement dans le formulaire de contact, nous y répondons personnellement.
L'audit peut-il perturber mon site ?
+
Les tests sont conduits de manière à ne pas affecter vos utilisateurs. Les tests susceptibles d'avoir un impact sont réalisés sur un environnement de préproduction ou à des horaires convenus.
Combien de temps dure un audit ?
+
Cela dépend du périmètre : quelques jours pour un site vitrine, davantage pour une application complexe. La durée est fixée lors du cadrage.
Quelle différence avec un test d'intrusion ?
+
Le test d'intrusion cherche activement à exploiter les failles pour mesurer jusqu'où un attaquant peut aller. L'audit que nous proposons couvre l'identification et la vérification des vulnérabilités ; un test d'intrusion plus poussé peut être défini selon vos besoins.
Le rapport est-il confidentiel ?
+
Oui. Il est transmis uniquement aux personnes que vous désignez et n'est conservé que le temps nécessaire.
Pour aller plus loin
Services complémentaires
Audit sécurité
Faites le point sur la sécurité de votre site
Indiquez-nous le site ou l'application à auditer et son contexte. Nous définissons ensemble le périmètre, puis vous adressons une proposition.