Test d'intrusion : trouver les failles avant ceux qui les cherchent
Trouver les failles avant ceux qui les cherchent.
Un test d'intrusion, ou pentest, consiste à attaquer vos systèmes dans un cadre autorisé pour découvrir les vulnérabilités réellement exploitables. Il complète les scanners automatiques : là où un outil signale une faiblesse théorique, le test montre ce qu'un attaquant peut en faire.
Le périmètre est défini et validé par écrit avant la moindre action : applications web, API, réseau exposé sur Internet, réseau interne. Les scénarios reflètent des menaces réalistes pour votre activité, avec ou sans connaissance préalable du système selon l'objectif visé.
Certains contextes réglementaires ou contractuels exigent un prestataire qualifié PASSI par l'ANSSI. Ce point est vérifié au cadrage, avant tout engagement, afin que le rapport réponde bien à l'usage que vous en ferez.
Ce que vous obtenez
- Convention de test signée : périmètre, fenêtres d'intervention, contacts d'urgence
- Rapport détaillé : vulnérabilités, preuves d'exploitation, criticité, recommandations de correction
- Synthèse lisible par la direction, sans jargon
- Restitution technique avec les équipes chargées des corrections
- Contre-test après correction et rapport de vérification
Déroulé
Cadrage et autorisation
Définition des cibles, du type de test et des règles d'engagement. Rien ne démarre sans autorisation écrite couvrant le périmètre exact.
Reconnaissance et tests
Recherche des surfaces exposées, puis tentatives d'exploitation contrôlées. Une faille critique découverte en cours de test vous est signalée sans attendre le rapport.
Rapport et restitution
Chaque vulnérabilité est documentée avec sa preuve, son impact et une correction concrète. La restitution priorise les corrections avec vos équipes.
Contre-test
Une fois les corrections appliquées, les failles sont retestées pour confirmer qu'elles sont bien fermées.
Questions fréquentes
Un test d'intrusion peut-il interrompre nos services ?
Le risque est encadré par les règles d'engagement : fenêtres d'intervention, techniques exclues, contacts d'urgence. Les tests susceptibles de dégrader un service sont soit exclus, soit menés sur un environnement de préproduction.
Quelle différence avec un scan de vulnérabilités ?
Un scan liste des faiblesses connues de façon automatique. Le test d'intrusion les vérifie à la main, les enchaîne entre elles et mesure l'impact réel. Les deux sont complémentaires.
À quelle fréquence faut-il en refaire un ?
Après chaque évolution importante de l'application ou de l'infrastructure, et à intervalle régulier pour le reste. Le bon rythme dépend de votre exposition et des exigences de vos clients.
Pour aller plus loin
- Metabase, CVE-2026-72898 et l'ANSSI : ce que le correctif déployé trop tard révèle sur vos outils analytiques8 octobre 2026
- Rapport ENISA Threat Landscape 2026 : 60 % des intrusions par exploitation de vulnérabilités — ce que vos dépendances révèlent26 septembre 2026
- NIS2 : que révèle la surface d'attaque externe de 21 700 entités françaises ?24 septembre 2026
Dans le même pôle : Cybersécurité
- Diagnostic de posture
Où vous en êtes, et ce qui manque.
- Mise en conformité
Des mesures déployées, documentées, prouvables.
- RSSI à temps partagé
La responsabilité pèse sur les dirigeants. Nous portons le sujet avec eux.
- Intégration des outils de sécurité
Un outil installé n'est pas un outil en service.
- Préparation à l'ISO/IEC 27001
De l'analyse d'écart à l'audit de certification.
- Sensibilisation et simulations d'hameçonnage
Le premier vecteur d'attaque reste l'humain. Il se forme.
- Réponse à incident
Quand l'incident arrive, vous savez qui appeler.
Parlons de votre contexte.
Trente minutes pour qualifier le besoin. Le cadrage écrit suit sous quatorze jours ouvrés.
Demander un échange