Qu'est-ce qu'un pentest ? Définition, méthodologie et déroulement
Test d'intrusion expliqué par un pentester : définition, boîte noire, grise ou blanche, déroulement étape par étape, référentiels, préparation et rapport.
Définition
Un pentest, ou test d'intrusion (penetration test en anglais), est une attaque simulée, autorisée par écrit et encadrée, menée contre un système précis : un site, une application, une API, un réseau interne ou un annuaire Active Directory.
Le but n'est pas de lister des alertes. Le but est de prouver ce qu'un attaquant peut réellement faire : lire des données d'un autre client, prendre la main sur un compte administrateur, rebondir vers le réseau interne. Chaque faille retenue est démontrée, avec une preuve contrôlée et sans casse.
Pentest, audit ou scan : trois choses différentes
- Le scan de vulnérabilités est automatique. Un outil compare des versions et des configurations à une base de failles connues. C'est rapide, pas cher, et plein de faux positifs.
- L'audit de sécurité dresse une photographie : configurations, pratiques, conformité, priorités. Il dit où sont les risques, sans forcément les exploiter.
- Le pentest part d'un périmètre précis et va jusqu'au bout : reconnaissance, exploitation, validation de l'impact. C'est le seul des trois qui trouve les failles de logique métier et de droits, celles qu'aucun outil ne voit.
Pour aller plus loin :
- Comment tester la sécurité de son site ?
- Audit de sécurité informatique
Boîte noire, grise ou blanche : les 3 types de test d'intrusion
- Boîte noire : le pentester ne reçoit que l'adresse de la cible, comme un attaquant venu d'internet. Réaliste, mais une partie du temps passe à découvrir ce que le client aurait pu donner.
- Boîte grise : il reçoit des comptes de test pour chaque rôle (client, gestionnaire, administrateur). C'est le choix le plus fréquent, parce qu'il teste ce qui compte : un utilisateur connecté peut-il voir ou modifier ce qui ne lui appartient pas ?
- Boîte blanche : il a aussi le code source, l'architecture ou les configurations. C'est le test le plus complet, souvent combiné à une revue de code.
Le choix dépend de la question posée. « Un inconnu peut-il entrer ? » appelle une boîte noire. « Un client peut-il voler les données d'un autre ? » appelle une boîte grise.
Le déroulement d'un pentest, étape par étape
- Cadrage : périmètre exact (domaines, IP, applications), ce qui est exclu, fenêtres horaires, comptes de test, contact d'urgence. Tout est écrit dans une autorisation signée, les règles d'engagement. Sans elle, un test d'intrusion est une intrusion tout court.
- Reconnaissance : sous-domaines, technologies utilisées, services exposés, fuites publiques, documentation d'API. On cartographie la surface d'attaque avant de toucher à quoi que ce soit.
- Recherche de vulnérabilités : outils automatiques pour couvrir large, puis analyse manuelle de chaque fonctionnalité sensible, parcours par parcours, rôle par rôle.
- Exploitation : on tente d'exploiter ce qui a été trouvé, en restant non destructif. Une faille non exploitable est notée comme telle, pas gonflée.
- Validation de l'impact : jusqu'où l'attaquant va-t-il ? Accès aux données, élévation de privilèges, rebond vers d'autres systèmes. C'est cette étape qui transforme une faille technique en risque métier lisible.
- Rapport et restitution : présentation des résultats aux équipes techniques et à la direction.
- Contre-test (retest) : une fois les corrections faites, on rejoue les attaques pour vérifier qu'elles ne passent plus.
Les référentiels de méthodologie
Un pentest sérieux suit une méthode publique, ce qui le rend reproductible et comparable :
- OWASP Web Security Testing Guide (WSTG) pour les applications web, et le Top 10 OWASP pour classer les familles de failles ;
- OWASP API Security Top 10 pour les API ;
- PTES (Penetration Testing Execution Standard) et le guide NIST SP 800-115 pour l'organisation générale du test ;
- OSSTMM pour les tests d'infrastructure et de sécurité opérationnelle.
En France, l'ANSSI qualifie des prestataires d'audit (PASSI) ; ce référentiel est exigé pour certains systèmes réglementés.
Pour aller plus loin :
- Audit OWASP : ce qui est vérifié
Comment préparer un test d'intrusion
Côté entreprise, une bonne préparation fait gagner des jours de test :
- lister les actifs vraiment critiques plutôt que « tout le site » ;
- créer un compte de test par rôle, avec des données factices ;
- choisir l'environnement : une préproduction identique à la production est idéale, sinon la production avec des fenêtres horaires ;
- prévenir l'hébergeur, l'infogéreur et l'équipe de supervision, pour qu'une alerte ne déclenche pas une crise ;
- vérifier que les sauvegardes sont récentes ;
- désigner une personne joignable pendant toute la durée du test.
Livrable attendu
Le rapport contient une synthèse lisible par la direction, puis le détail technique : chaque faille avec sa criticité (souvent notée en CVSS), la preuve d'exploitation, le chemin d'attaque, l'impact métier et une recommandation de correction concrète.
Un bon rapport se juge à une question simple : un développeur peut-il corriger la faille avec ce qui est écrit, sans rappeler le pentester ? Le contre-test confirme ensuite que les corrections tiennent.
Quand faire un pentest ?
- avant la mise en ligne d'une application ou d'une refonte ;
- après un changement majeur : nouvelle API, paiement, espace client, migration d'hébergement ;
- à la demande d'un client grand compte, d'un assureur cyber ou d'un audit de conformité (ISO 27001, NIS2, DORA) ;
- au moins une fois par an sur les systèmes exposés, puisque le code et les menaces changent.
Le coût dépend surtout du périmètre et du nombre de rôles à tester.
Pour aller plus loin :
- Red team : simuler une attaque complète
Questions fréquentes
Un pentest est-il légal ?
Oui, à condition d'avoir l'autorisation écrite du propriétaire du système testé, avec un périmètre défini. Sans cette autorisation, c'est une intrusion punie par l'article 323-1 du Code pénal.
Un pentest peut-il casser la production ?
Le risque existe mais se maîtrise : tests non destructifs, fenêtres horaires, exclusion des actions dangereuses et contact d'urgence. C'est tout l'intérêt du cadrage.
Combien de temps dure un test d'intrusion ?
De quelques jours pour une application simple à plusieurs semaines pour un système d'information complet. La durée se fixe au cadrage, selon le périmètre et le nombre de rôles.
Votre système tient-il une vraie attaque ?
Premier échange de 30 minutes, sans engagement, pour cadrer le périmètre et le budget.