Injections SQL
Permettent d'extraire ou de modifier toute la base de données
Audit de code white box
Audit de code source : les failles que le pentest ne voit pas
Un audit de code source est une revue de sécurité en boîte blanche : un expert lit le code de votre application pour y trouver les failles exploitables (injections, authentification, secrets exposés, dépendances vulnérables, logique métier). Pour une application web ou mobile, le rapport avec les correctifs arrive sous 10 jours ouvrés après réception du code.
Un code développé sans revue de sécurité systématique est une porte ouverte aux attaquants. Les failles se cachent là où un scanner ne regarde pas. White-Hat réalise une revue manuelle de votre code source, sous accord de confidentialité, pour les trouver et les corriger avant qu'elles ne soient exploitées.
150+
entreprises auditées
DEPUIS 2016
72 h
première intervention
RÉPONSE À INCIDENT
1 247
vulnérabilités remontées
TOUS AUDITS
Inclus
contre-audit après correction
TOUTES OFFRES
Un code non audité est une bombe à retardement
84%
des applications contiennent des failles critiques
60%
des failles sont dans le code applicatif
9
vulnérabilités OWASP trouvées en moyenne par audit
197j
durée moyenne avant découverte d'une intrusion
Secrets exposés
Clés API, mots de passe et tokens en clair dans le code
Dépendances vulnérables
Librairies tierces avec des CVE non patchées depuis des mois
Logique métier
Contournement des contrôles d'accès et des vérifications métier
Notre méthodologie
Comment se déroule l'audit de votre code
Un processus d'audit de code rigoureux en 4 phases, de l'analyse initiale jusqu'à la restitution avec les développeurs, pour un maximum d'efficacité et de clarté.
Prise en main du code source
Vous partagez votre code source via un accès sécurisé. Nous analysons la stack technique, l'architecture et les flux de données pour définir les zones à risque prioritaires.
Revue manuelle approfondie
Nos experts passent chaque module au crible : injections, authentification, gestion des sessions, validation des entrées, gestion des erreurs, secrets exposés et dépendances vulnérables.
Tests et validation
Les vulnérabilités identifiées sont confirmées par des tests concrets. Chaque faille est classée par criticité (critique, haute, moyenne, faible) selon le référentiel CVSS.
Rapport et session de restitution
Vous recevez un rapport complet avec chaque vulnérabilité documentée, les correctifs recommandés et des exemples de code sécurisé. Une session de restitution avec votre équipe de développement est incluse.
Pourquoi White-Hat
Un audit de code par de vrais experts
Revue manuelle experte
Contrairement aux outils automatiques, nos experts analysent la logique métier, les flux de données et les cas d'utilisation réels pour trouver des failles qu'aucun scanner ne détecte.
Couverture OWASP complète
Nos audits couvrent l'intégralité du Top 10 OWASP ainsi que les vulnérabilités spécifiques à votre stack technique et à votre secteur d'activité.
Rapport actionnable
Chaque vulnérabilité est documentée avec une description technique, le code vulnérable, la preuve de concept et le correctif recommandé avec un exemple de code sécurisé.
Experts toutes technologies
PHP, Python, Node.js, Java, .NET, Go, Ruby, React, Vue.js et plus : nos experts couvrent toutes les stacks modernes. Précisez votre stack lors de la commande.
NDA et confidentialité totale
Un accord de confidentialité est signé avant toute mission. Votre code source ne quitte pas notre environnement sécurisé et est supprimé après livraison du rapport.
Livraison en 10 jours
Nous livrons votre rapport d'audit complet dans les 10 jours ouvrés suivant la réception du code source, avec une session de restitution planifiée selon vos disponibilités.
Ce qu'en disent nos clients
On ne se note pas nous-mêmes.
Des avis publiés sur notre fiche Google par des entreprises réellement auditées. Vérifiables, un par un.
GOOGLE
Nous avons fait appel à White-Hat pour la réalisation d’un audit de cybersécurité sur l'ensemble de nos serveurs, et nous sommes très satisfaits de la qualité de leur intervention. Philippe a fait preuve de professionnalisme, de réactivité et de pédagogie tout au long de la mission. Les recommandations fournies étaient claires, pertinentes et directement exploitables pour renforcer notre niveau de sécurité. Nous recommandons vivement leurs services.
GOOGLE
Très bonne expérience avec White-Hat pour un audit de sécurité complet sur notre plateforme SaaS. La qualité du service est vraiment au rendez-vous : Philippe a pris le temps de comprendre l’architecture de notre application avant de se lancer dans les tests, ce qui change tout sur la pertinence des résultats. Le rapport était détaillé, avec des vulnérabilités classées par criticité, des preuves d’exploitation concrètes et des recommandations directement applicables par notre équipe technique. Le suivi après livraison pour vérifier les correctifs a été un vrai plus. Sérieux, rigoureux et à l’écoute : exactement ce qu’on attend pour sécuriser un produit SaaS.
GOOGLE
On a fait appel à White-Hat pour un audit complet / pentest avancé sur notre site web, et c’est clairement le contact direct avec Philippe qui fait la différence. Pas de commercial entre nous, pas de jargon inutile : on échange directement avec quelqu’un qui comprend nos enjeux et qui sait expliquer les failles trouvées de façon claire. Le rapport était précis, avec des preuves concrètes et des recommandations qu’on a pu appliquer rapidement. Une vraie relation de confiance, je recommande.
GOOGLE
Travail professionnel. Merci.
GOOGLE
Nous avons fait appel à White Hat en urgence suite à la suspicion de compromission de plusieurs serveurs. L’équipe a été extrêmement réactive et a pris en charge notre demande en quelques minutes, avec une communication claire à chaque étape. Leur analyse de vulnérabilités a été menée de manière très rigoureuse, avec un rapport détaillé et des recommandations concrètes, faciles à mettre en œuvre pour renforcer notre sécurité. L’investigation sur les serveurs compromis a permis d’identifier rapidement l’origine de l’attaque et de contenir l’incident sans interruption majeure de nos services. Professionnels, pédagogues et disponibles, je recommande vivement ce prestataire pour toute intervention en cybersécurité, en particulier en contexte d’urgence.
Questions fréquentes
Ce qu'on vous répond avant que vous demandiez.
Qu'est-ce qu'un audit de sécurité du code source ?
C'est une revue de sécurité en boîte blanche (white box) : l'auditeur a accès au code complet de l'application et le lit module par module. Il cherche les vulnérabilités du Top 10 OWASP (injections SQL, XSS, CSRF, SSRF), les défauts d'authentification et de gestion des sessions, les secrets écrits en clair, les dépendances porteuses de CVE et les contrôles d'accès contournables. Chaque faille est confirmée par un test avant d'entrer dans le rapport.
Combien coûte un audit de code source ?
L'audit de code est sur devis : le prix dépend de la taille du code, du nombre de modules et de la stack. Le périmètre de base couvre une application web ou mobile, avec la revue manuelle, le rapport, la session de restitution avec vos développeurs et 14 jours de support après la livraison. Le devis est gratuit et fixé avant le début de la mission.
Combien de temps dure un audit de code ?
Comptez 7 à 10 jours de travail pour une application. Le rapport est livré sous 10 jours ouvrés après la réception du code source, puis la session de restitution est planifiée selon vos disponibilités.
Que contient le rapport d'audit de code source ?
Pour chaque vulnérabilité : sa criticité selon le référentiel CVSS (critique, haute, moyenne, faible), le fichier et les lignes concernés, la preuve de concept, l'impact pour votre activité et le correctif recommandé, avec un exemple de code sécurisé. Le rapport s'ouvre sur une synthèse lisible par un dirigeant et se termine par la liste des corrections classées par priorité.
Éditeur de logiciel ou SaaS : que vérifie l'audit de code ?
Pour un éditeur, l'audit porte en priorité sur ce qu'un client ou un concurrent pourrait détourner : séparation des données entre clients, droits des comptes et des rôles, API, paiements, gestion des secrets et des clés, dépendances tierces. Le rapport sert aussi de preuve de diligence face aux questionnaires de sécurité de vos clients.
Un outil d'audit de code source ne suffit-il pas ?
Un outil d'analyse statique (SAST) repère des motifs connus, avec beaucoup de faux positifs, et ne comprend pas votre métier : il ne voit pas qu'un panier accepte un prix négatif ou qu'un utilisateur lit les factures d'un autre. La revue manuelle vérifie la logique métier et les contrôles d'accès, puis trie et confirme chaque alerte.
Comment transmettez-vous le code source de manière sécurisée ?
Nous vous fournissons un accès sécurisé à notre espace de partage chiffré. Vous pouvez également nous inviter en lecture seule sur votre dépôt privé (GitHub, GitLab, Bitbucket). Un accord de confidentialité (NDA) est signé avant toute transmission de code. Le code source est supprimé de nos systèmes dans les 30 jours suivant la livraison du rapport.
Quelle différence entre un audit de code et un pentest ?
Un pentest (boîte noire) simule une attaque externe sans accès au code. L'audit de code (boîte blanche) analyse le code source directement et trouve des vulnérabilités invisibles en boîte noire : logique métier contournable, secrets exposés, erreurs de validation. L'audit de code est idéal pour les applications critiques ou avant une mise en production. Les deux approches sont complémentaires.
L'audit couvre-t-il toute la codebase ?
Oui, nous réalisons une revue complète de votre codebase selon le périmètre défini lors de la commande. Pour les applications très volumineuses, nous priorisons les zones à risque : authentification, gestion des permissions, traitement des entrées utilisateur, API, paiements. Indiquez vos zones d'attention prioritaires lors de la commande.
Votre système tient-il une vraie attaque ?
Premier échange de 30 minutes, sans engagement, pour cadrer le périmètre et le budget.