Cadrage
Périmètre du dépôt, langages, dépendances, contraintes de confidentialité. Convention et accès en lecture seule.
Revue manuelle en boîte blanche
Les failles que le test depuis l'extérieur ne voit pas
Un test d'intrusion attaque ce qui est exposé. Un audit de code lit ce qui est écrit — y compris les chemins que personne n'emprunte encore.
- Revue manuelle, pas un rapport d'analyseur statique
- Injections, désérialisation, secrets en dur, contrôles d'accès manquants
- Failles de logique métier — celles qu'aucun outil ne trouve
- Correctifs proposés sous forme d'exemples de code, prêts à appliquer
Faire auditer mon code source
Indiquez l'application concernée : un expert vous rappelle pour cadrer la revue (langage, taille du dépôt, délais). Sans engagement.
150+
entreprises auditées
DEPUIS 2016
72 h
première intervention
RÉPONSE À INCIDENT
1 247
vulnérabilités remontées
TOUS AUDITS
Inclus
contre-audit après correction
TOUTES OFFRES
Pourquoi lire le code
Une faille se corrige là où elle est écrite
Tester depuis l'extérieur dit qu'il y a un problème. Lire le code dit lequel, et où.
- Une injection trouvée en boîte noire donne un symptôme. La même trouvée dans le code donne la ligne, le correctif et les autres endroits où le même motif se répète.
- Les contrôles d'accès manquants sont presque invisibles de l'extérieur : il faut connaître les rôles pour savoir ce qui devrait être refusé.
- Les secrets en dur — clés d'API, mots de passe de service, jetons — ne se voient jamais depuis le web, et se retrouvent dans l'historique Git.
- La logique métier ne s'attaque pas au hasard : il faut avoir lu comment le panier calcule un prix pour savoir comment le tromper.
L'accès au dépôt est encadré par convention. Aucune copie n'est conservée après la restitution.
Déroulé
De l'accès au dépôt aux correctifs
Quatre étapes, onze jours en moyenne entre le cadrage et le rapport.
Cartographie
Points d'entrée, flux de données, frontières de confiance. C'est ce qui oriente la revue vers les zones qui comptent.
Revue manuelle
Lecture ciblée des chemins sensibles : authentification, autorisations, traitement des entrées, appels système, gestion des secrets.
Rapport et correctifs
Chaque constat avec sa localisation, son impact réel et un exemple de correction. Contre-audit inclus après déploiement.
Exemple de restitution
À quoi ressemble un audit professionnel ?
Exemple anonymisé : synthèse lisible direction, score consolidé et priorités pour votre DSI ou intégrateur.
- Synthèse exécutive et score de risque sur une page
- Constats priorisés avec pistes de remédiation concrètes
- Document partageable en interne (DSI, RSSI, direction)
Ce qu'en disent nos clients
On ne se note pas nous-mêmes.
Des avis publiés sur notre fiche Google par des entreprises réellement auditées. Vérifiables, un par un.
GOOGLE
Nous avons fait appel à White-Hat pour la réalisation d’un audit de cybersécurité sur l'ensemble de nos serveurs, et nous sommes très satisfaits de la qualité de leur intervention. Philippe a fait preuve de professionnalisme, de réactivité et de pédagogie tout au long de la mission. Les recommandations fournies étaient claires, pertinentes et directement exploitables pour renforcer notre niveau de sécurité. Nous recommandons vivement leurs services.
GOOGLE
Très bonne expérience avec White-Hat pour un audit de sécurité complet sur notre plateforme SaaS. La qualité du service est vraiment au rendez-vous : Philippe a pris le temps de comprendre l’architecture de notre application avant de se lancer dans les tests, ce qui change tout sur la pertinence des résultats. Le rapport était détaillé, avec des vulnérabilités classées par criticité, des preuves d’exploitation concrètes et des recommandations directement applicables par notre équipe technique. Le suivi après livraison pour vérifier les correctifs a été un vrai plus. Sérieux, rigoureux et à l’écoute : exactement ce qu’on attend pour sécuriser un produit SaaS.
GOOGLE
On a fait appel à White-Hat pour un audit complet / pentest avancé sur notre site web, et c’est clairement le contact direct avec Philippe qui fait la différence. Pas de commercial entre nous, pas de jargon inutile : on échange directement avec quelqu’un qui comprend nos enjeux et qui sait expliquer les failles trouvées de façon claire. Le rapport était précis, avec des preuves concrètes et des recommandations qu’on a pu appliquer rapidement. Une vraie relation de confiance, je recommande.
GOOGLE
Travail professionnel. Merci.
GOOGLE
Nous avons fait appel à White Hat en urgence suite à la suspicion de compromission de plusieurs serveurs. L’équipe a été extrêmement réactive et a pris en charge notre demande en quelques minutes, avec une communication claire à chaque étape. Leur analyse de vulnérabilités a été menée de manière très rigoureuse, avec un rapport détaillé et des recommandations concrètes, faciles à mettre en œuvre pour renforcer notre sécurité. L’investigation sur les serveurs compromis a permis d’identifier rapidement l’origine de l’attaque et de contenir l’incident sans interruption majeure de nos services. Professionnels, pédagogues et disponibles, je recommande vivement ce prestataire pour toute intervention en cybersécurité, en particulier en contexte d’urgence.
L'humain derrière l'outil
À propos de votre interlocuteur
Je suis consultant en cybersécurité : j'accompagne les équipes IT et directions sur des sujets d'audit, de tests d'intrusion et de durcissement. Parcours orienté terrain (PME, ETI, e-commerce, industrie) avec une exigence simple : des constats exploitables, pas du jargon.
Pourquoi ce métier : rendre visibles les risques réels pour aider à décider vite — sécuriser, c'est aussi clarifier ce qui compte pour l'activité.
Une expertise construite depuis 2020 sur des contextes variés ; certifications reconnues (OSCP, CISSP, OSEP) et veille continue sur les menaces.
Pédagogie : traduire le technique en décisions business (priorisation, budget, planning).
Questions fréquentes
Ce qu'on vous répond avant que vous demandiez
Vous gardez une copie de notre code ?
Non. L'accès se fait en lecture seule sur votre dépôt, et toute copie de travail est détruite après la restitution. C'est écrit dans la convention.
Quels langages traitez-vous ?
PHP, JavaScript/TypeScript, Python, Java, Go et C#. Pour un langage hors de cette liste, on vous le dit au cadrage plutôt que de faire semblant.
Ce n'est pas ce que fait déjà notre analyseur statique ?
Un analyseur trouve des motifs connus et produit beaucoup de faux positifs. Il ne comprend pas votre logique métier. La revue manuelle sert exactement à ça — et on ne vous facture pas la relecture d'un rapport d'outil.
Faut-il arrêter les développements pendant l'audit ?
Non. On travaille sur une référence figée (branche ou tag) et vos équipes continuent. Les correctifs se posent ensuite sur la branche courante.
Prêt à faire lire votre code ?
Audit de code source en boîte blanche
Indiquez l'application concernée : un expert vous rappelle pour cadrer la revue (langage, taille du dépôt, délais). Sans engagement.