Pentest de site web : guide pour dirigeants de PME

Vous dirigez une PME et votre site vend, prend des rendez-vous ou stocke des données clients. Un pirate n'a pas besoin de vous connaître pour le tester : des robots sondent votre site chaque jour.

Le pentest de site web, ou test d'intrusion, consiste à faire attaquer votre site par un professionnel, avec votre accord écrit, avant qu'un autre ne le fasse. Voici ce que ça couvre vraiment, et comment acheter sans vous tromper.

Ce que teste vraiment un pentest de site web

Un scanner automatique liste des versions de logiciels périmées. Un pentester va plus loin : il enchaîne les failles comme le ferait un attaquant. Un champ de recherche mal protégé donne accès à la base, la base donne des comptes, un compte donne la main sur l'administration.

• Authentification : mots de passe faibles, double authentification contournable, session qui ne se ferme pas.
• Droits : un client qui voit les données d'un autre en changeant un numéro dans l'adresse.
• Injections : SQL, scripts malveillants (XSS), envoi de fichiers piégés.
• Configuration : fichiers oubliés en ligne, sauvegardes accessibles, en-têtes de sécurité absents.
• Logique métier : un prix modifié avant paiement, un code promo utilisable cent fois.

Chez White Hat, les pré-audits automatisés servent de première étape : 3 080 pré-audits sont terminés sur 5 079 scans lancés. Ils repèrent le visible. Le test manuel trouve ce qui rapporte vraiment à un attaquant.

Boîte noire, grise ou blanche : lequel choisir

Le mode décide de ce que le testeur sait avant de commencer.

• Boîte noire : aucune information, comme un inconnu sur Internet. Utile pour mesurer l'exposition publique.
• Boîte grise : un compte utilisateur fourni. C'est le meilleur rapport efficacité/coût pour une PME, car la plupart des failles graves se cachent derrière la connexion.
• Boîte blanche : accès au code et à l'architecture. Le plus complet, à réserver aux applications critiques.

Le déroulement reste le même. On signe un devis et un périmètre précis, le test a lieu sur des plages convenues, vous êtes alerté tout de suite en cas de faille critique, puis vous recevez le rapport.

Un bon rapport contient un résumé lisible par un dirigeant, chaque faille classée par gravité avec la preuve, et les corrections à faire dans l'ordre. Après correction, un contre-test confirme que le trou est fermé. Si vous devez aussi répondre à NIS2, lisez NIS 2 : votre PME ou ETI est-elle concernée et la page audit NIS2.

Les questions à poser avant de signer

Le périmètre est-il écrit noir sur blanc ?

Oui, ou ne signez pas. Domaines, applications, interdits, horaires de test et contact d'urgence figurent au contrat. Un testeur sérieux n'attaque jamais un site sans mandat signé.

Qui fait le test ?

Demandez le nom de la personne qui tape sur le clavier, pas seulement celui du cabinet. Chez un pentester freelance, c'est la même personne du devis au rapport.

Le rapport est-il exploitable par votre développeur ?

Il doit donner la preuve, l'impact et la correction de chaque faille. Un export de scanner de 80 pages n'est pas un rapport de pentest.

Un contre-test est-il prévu ?

Sans lui, vous ne savez pas si les corrections tiennent.

Que faire si le site est déjà attaqué ?

Ne testez pas : traitez l'incident d'abord. Suivez les 72 premières heures après un piratage, puis planifiez le test.

Un pentest ne rend pas un site invulnérable. Il vous dit ce qu'un attaquant trouverait, dans quel ordre le corriger, et vous laisse une preuve écrite de votre diligence. Pour cadrer un test sur votre site, décrivez votre périmètre : devis signé avant toute action. Voir la page audit de sécurité informatique.