Cadrage
Périmètre, environnement, moyens de paiement de test, horaires à éviter.
Expert OSCP — sites marchands
Un site marchand perd de l'argent en silence
Sur un e-commerce, une faille ne se voit pas dans les journaux : elle se voit dans les impayés, les comptes clients pillés et les commandes à zéro euro.
- Tunnel de commande : prix, quantités, codes promo, frais de port
- Paiement : retour du prestataire, statut de commande, remboursements
- Comptes clients : réinitialisation de mot de passe, accès aux commandes d'autrui
- Extensions et thèmes — la porte d'entrée la plus fréquente sur les CMS
Demander un audit e-commerce
Indiquez l'URL de votre boutique. Un expert vous recontacte pour cadrer le périmètre et les horaires.
150+
entreprises auditées
DEPUIS 2016
72 h
première intervention
RÉPONSE À INCIDENT
1 247
vulnérabilités remontées
TOUS AUDITS
Inclus
contre-audit après correction
TOUTES OFFRES
Pourquoi auditer
La fraude au panier ne déclenche aucune alerte
Les failles d'un site marchand relèvent de la logique métier : rien ne casse, tout fonctionne, et le montant encaissé n'est pas celui attendu.
- Un prix ou une quantité modifiés côté client, un cumul de codes promo non prévu, des frais de port contournés : la commande passe et le paiement est validé.
- Un retour de prestataire de paiement mal vérifié permet de faire passer une commande en « payée » sans paiement.
- Les comptes clients contiennent des adresses, des historiques et parfois des moyens de paiement enregistrés — c'est une fuite de données personnelles au sens du RGPD.
- Sur un CMS, la majorité des compromissions passe par une extension obsolète, pas par le cœur du logiciel.
Toute mission nécessite un mandat écrit et un périmètre autorisé.
Déroulé
4 étapes hors heures de pointe
Cadrage, comptes de test, commandes contrôlées et restitution.
Exposition
Version du CMS, extensions, thèmes, administration, sauvegardes et fichiers laissés en ligne.
Parcours d'achat
Commandes de test complètes, du panier au retour de paiement, avec plusieurs comptes.
Rapport et retest
Corrections classées par perte évitée, puis vérification.
Exemple de restitution
À quoi ressemble un audit professionnel ?
Exemple anonymisé : synthèse lisible direction, score consolidé et priorités pour votre DSI ou intégrateur.
- Synthèse exécutive et score de risque sur une page
- Constats priorisés avec pistes de remédiation concrètes
- Document partageable en interne (DSI, RSSI, direction)
Ce qu'en disent nos clients
On ne se note pas nous-mêmes.
Des avis publiés sur notre fiche Google par des entreprises réellement auditées. Vérifiables, un par un.
GOOGLE
Nous avons fait appel à White-Hat pour la réalisation d’un audit de cybersécurité sur l'ensemble de nos serveurs, et nous sommes très satisfaits de la qualité de leur intervention. Philippe a fait preuve de professionnalisme, de réactivité et de pédagogie tout au long de la mission. Les recommandations fournies étaient claires, pertinentes et directement exploitables pour renforcer notre niveau de sécurité. Nous recommandons vivement leurs services.
GOOGLE
Très bonne expérience avec White-Hat pour un audit de sécurité complet sur notre plateforme SaaS. La qualité du service est vraiment au rendez-vous : Philippe a pris le temps de comprendre l’architecture de notre application avant de se lancer dans les tests, ce qui change tout sur la pertinence des résultats. Le rapport était détaillé, avec des vulnérabilités classées par criticité, des preuves d’exploitation concrètes et des recommandations directement applicables par notre équipe technique. Le suivi après livraison pour vérifier les correctifs a été un vrai plus. Sérieux, rigoureux et à l’écoute : exactement ce qu’on attend pour sécuriser un produit SaaS.
GOOGLE
On a fait appel à White-Hat pour un audit complet / pentest avancé sur notre site web, et c’est clairement le contact direct avec Philippe qui fait la différence. Pas de commercial entre nous, pas de jargon inutile : on échange directement avec quelqu’un qui comprend nos enjeux et qui sait expliquer les failles trouvées de façon claire. Le rapport était précis, avec des preuves concrètes et des recommandations qu’on a pu appliquer rapidement. Une vraie relation de confiance, je recommande.
GOOGLE
Travail professionnel. Merci.
GOOGLE
Nous avons fait appel à White Hat en urgence suite à la suspicion de compromission de plusieurs serveurs. L’équipe a été extrêmement réactive et a pris en charge notre demande en quelques minutes, avec une communication claire à chaque étape. Leur analyse de vulnérabilités a été menée de manière très rigoureuse, avec un rapport détaillé et des recommandations concrètes, faciles à mettre en œuvre pour renforcer notre sécurité. L’investigation sur les serveurs compromis a permis d’identifier rapidement l’origine de l’attaque et de contenir l’incident sans interruption majeure de nos services. Professionnels, pédagogues et disponibles, je recommande vivement ce prestataire pour toute intervention en cybersécurité, en particulier en contexte d’urgence.
L'humain derrière l'outil
À propos de votre interlocuteur
Je suis consultant en cybersécurité : j'accompagne les équipes IT et directions sur des sujets d'audit, de tests d'intrusion et de durcissement. Parcours orienté terrain (PME, ETI, e-commerce, industrie) avec une exigence simple : des constats exploitables, pas du jargon.
Pourquoi ce métier : rendre visibles les risques réels pour aider à décider vite — sécuriser, c'est aussi clarifier ce qui compte pour l'activité.
Une expertise construite depuis 2020 sur des contextes variés ; certifications reconnues (OSCP, CISSP, OSEP) et veille continue sur les menaces.
Pédagogie : traduire le technique en décisions business (priorisation, budget, planning).
Questions fréquentes
Ce qu'on vous répond avant que vous demandiez
Allez-vous passer de vraies commandes ?
Des commandes de test, avec les moyens de paiement de recette fournis par votre prestataire. Aucune transaction réelle n'est déclenchée sans votre accord explicite.
Est-ce compatible avec une forte affluence ?
Oui : les horaires sensibles — soldes, opérations commerciales — sont exclus au cadrage, et l'intensité des tests est adaptée.
Couvrez-vous la conformité PCI DSS ?
Nous auditons la sécurité technique de votre boutique. La certification PCI DSS est une démarche distincte, portée par un organisme qualifié ; notre rapport en documente une partie des prérequis.
Et si le site est déjà compromis ?
On bascule sur une réponse à incident : recherche de portes dérobées, nettoyage, remise en service. L'audit vient ensuite, une fois le site sain.
Sans engagement
Faites auditer votre boutique
Indiquez l'URL de votre boutique. Un expert vous recontacte pour cadrer le périmètre et les horaires.