Comment choisir un prestataire de test d’intrusion

Acheter un test d’intrusion ne ressemble pas aux autres achats informatiques. Vous ouvrez un accès à des personnes que vous ne connaissez pas, sur des systèmes qui hébergent des données de clients, et le seul élément permettant de juger la qualité du travail arrive après la facture : le rapport. En France, aucun registre ne trie les prestataires à votre place pour un projet privé. La qualification PASSI existe, elle est volontaire, et elle n’est pas requise pour un test d’intrusion commandé par une entreprise privée — nous y revenons plus bas, sans détour.

Voici donc la partie du travail qui vous revient : ce que vous pouvez demander avant de signer, ce qui doit figurer noir sur blanc dans le contrat, à quoi se reconnaît un rapport qui mérite son prix, et les cas — réels — où une qualification délivrée par l’État est effectivement exigée.

Hacker éthique, pentesteur, auditeur : un seul métier

Les intitulés varient d’une offre d’emploi à l’autre — « hacker éthique », pentesteur, auditeur technique, « white hat » — le travail, non. Et il ressemble peu à l’image du personnage encapuchonné des banques d’images : l’essentiel consiste à lire, à essayer, puis à consigner.

• Reconnaissance de la surface exposée. Ce qui est visible depuis l’extérieur, quels sous-domaines répondent encore, quelle brique technique tourne dessous. Il en sort régulièrement un environnement de recette que l’équipe interne croyait éteint depuis deux ans.
• Authentification et autorisation. Un utilisateur peut-il se faire passer pour un autre ? Un compte ordinaire voit-il des données qui ne le concernent pas ? C’est là que se trouvent les constats les plus lourds, et aucun scanner ne les remonte.
• Logique métier. Un code promotionnel qui s’applique deux fois, une étape sautée dans un tunnel de commande, un virement au montant négatif. Techniquement, rien ne casse ; il ne part que de l’argent.
• Chaînes d’attaque. Deux détails sans gravité isolément qui, combinés, donnent un accès administrateur. C’est cette chaîne que le rapport doit montrer.
• Preuve d’exploitation. Un constat sans preuve reproductible est un avis. La preuve est précisément ce qui sépare un test d’une liste produite par un outil.

Un point pratique en découle. Commandez un test d’intrusion (pentest) et non « les prestations d’un hacker éthique » : seul le premier terme porte un périmètre, un calendrier et un livrable, donc lui seul permet de comparer deux devis.

Ce qui sépare un test d’une infraction

Pas la technique — elle est identique. La différence tient à trois documents.

• Le mandat écrit. Donné par une personne habilitée à engager l’entreprise, avant le début des travaux, et émanant de l’entité qui exploite réellement le système. Pour une application hébergée chez un fournisseur cloud ou pour un service SaaS, ce n’est pas automatiquement votre entreprise ; les conditions du fournisseur limitent parfois les tests ou imposent une déclaration préalable.
• Le périmètre. La liste précise de ce qui entre dans le test et de ce qui en sort. Ce qui en sort reste intact, même si le consultant y aperçoit un défaut.
• Les règles d’engagement. Fenêtre horaire, méthodes autorisées, contacts d’escalade, et les actions soumises à un accord distinct — typiquement les attaques visant la disponibilité, les envois massifs de messages et toute manipulation de données de production.

Sans ces trois pièces, les mêmes gestes relèvent des atteintes aux systèmes de traitement automatisé de données, réprimées par les articles 323-1 et suivants du code pénal. Ce qui rend le test licite, c’est le mandat du commanditaire et le périmètre convenu : pas un label, pas une inscription sur une liste.

Les missions que nous n’acceptons pas

La requête « engager un hacker » recouvre deux intentions très différentes. Pour lever l’ambiguïté : nous testons uniquement des systèmes pour lesquels un mandat écrit a été délivré par une personne habilitée.

Nous n’acceptons pas, quelle que soit la justification et quel que soit le montant :

• l’accès au compte, à la messagerie, aux échanges ou à l’appareil d’un tiers, y compris lorsqu’il s’agit d’un proche, d’un associé ou d’un collaborateur ;
• la récupération d’un accès lorsque l’appartenance du compte au demandeur n’est pas démontrable ;
• le test des systèmes d’un concurrent, d’un fournisseur ou d’un client sans commande de leur part ;
• la surveillance de personnes.

Ce n’est ni une formalité ni un point de négociation. Un prestataire qui discute cette limite discutera aussi, plus tard, le sort de vos données.

Posez ces huit questions avant de signer

1. Quels référentiels méthodologiques, et appliqués à quoi ?

Un prestataire sérieux nomme ses référentiels et vous dit lequel s’applique à quelle partie du périmètre : OWASP WSTG pour les applications web, OWASP MASTG pour le mobile, OWASP ASVS comme grille d’exigences, PTES pour le déroulé d’ensemble. Une réponse qui se limite à « nous suivons les bonnes pratiques du marché » n’est pas une réponse.

Demandez ensuite la répartition entre outillage et travail manuel, avec un chiffre : sur le total des jours-homme, combien sont consacrés à des tests conduits à la main. Tout le monde promet une approche manuelle ; peu de devis la chiffrent. Nos référentiels sont détaillés sur la page méthodologies.

Un mot sur le vocabulaire de cadrage. Les acheteurs français raisonnent avec les cinq portées définies par l’ANSSI — audit d’architecture, audit de configuration, audit de code source, tests d’intrusion, audit organisationnel et physique. Reprenez ces termes dans votre expression de besoin : même chez un prestataire non qualifié, ils découpent le besoin proprement et évitent qu’un scan soit vendu pour un test.

2. Qui réalise le test, et avec quelles certifications individuelles ?

Deux vérifications tiennent en un quart d’heure. D’abord, une certification appartient à une personne, pas à une société : demandez les noms des consultants qui interviendront, pas une énumération de logos en pied de page. Ensuite, OffSec et ISC2 tiennent des registres publics : demandez un numéro de certification ou un lien de vérification, pas une capture d’écran.

En France, ces certifications se présentent d’ailleurs comme « les certifications de nos consultants », jamais comme un label d’entreprise. CREST reste peu répandu sur le marché français ; ne vous formalisez pas de son absence.

Posez-nous la même question. Notre équipe est nommée sur le site, avec les rôles, et nous transmettons un exemple de rapport anonymisé avant la signature.

3. Un exemple de rapport est-il communiqué avant la signature ?

Le rapport est le produit. Un prestataire qui ne le montre pas a une raison de ne pas le montrer. Un exemplaire anonymisé se demande avant de signer, jamais après. Lisez-y deux choses en priorité : la présence d’une preuve reproductible sous chaque constat, et la nature des recommandations. « Appliquer l’état de l’art » n’aide personne ; « positionner l’en-tête X à la valeur Y » représente une demi-journée pour votre équipe.

4. Qui signe le rapport, et qui anime la restitution ?

Un rapport signé par un nom engage quelqu’un. Vérifiez que les personnes citées dans le devis sont celles qui ont réellement testé, et qu’elles seront présentes à la restitution. En France, cette réunion de restitution fait partie de l’attendu : son absence dans une offre se remarque. Précisez son format — la nôtre se tient en visioconférence, avec la direction et les équipes techniques dans la même session, ce qui évite deux lectures divergentes du même document.

5. Quel est le périmètre du mandat, et qui le délivre ?

Reprenez ici les trois documents décrits plus haut. Deux questions départagent vite les offres : le prestataire vous fournit-il un modèle d’autorisation de test, et vous demande-t-il spontanément si des systèmes de tiers entrent dans le périmètre ? Un prestataire qui ne pose pas la question du fournisseur d’hébergement ne l’a jamais rencontrée.

6. Comment les données collectées sont-elles traitées et conservées ?

Un test produit des preuves : captures, extraits de base de données, jetons, parfois des données personnelles. Demandez où elles résident, qui y accède, combien de temps elles sont conservées et à quelle date elles sont détruites. Si des données personnelles entrent dans le périmètre, les rôles de responsable de traitement et de sous-traitant se fixent par écrit : c’est l’objet du contrat prévu à l’article 28 du RGPD, et le test lui-même sert la démonstration attendue à l’article 32, qui cite le fait de tester et d’évaluer régulièrement l’efficacité des mesures de sécurité.

Demandez aussi la liste nominative des sous-traitants et le lieu d’hébergement des preuves. Avec un prestataire établi dans l’Union européenne, la question du transfert vers un pays tiers ne se pose pas ; nous détaillons ce point dans recourir à un prestataire établi dans l’UE.

7. Le contre-audit est-il inclus, et sous quel délai ?

Le contre-audit consiste à vérifier les correctifs appliqués aux points signalés : ce n’est pas un second test complet, et cela ne se facture donc pas comme tel. Trois précisions à obtenir : inclus ou facturé, sous quel délai après la remise du rapport, et réalisé par qui.

Notre pratique, pour que vous puissiez la comparer : contre-audit inclus dans le prix, sous 90 jours après la remise du rapport. Les fourchettes de prix correspondantes sont publiées dans combien coûte un test d’intrusion — en jours-homme et en euros HT, pas sur demande.

8. Quelle assurance, et quelle sous-traitance ?

Demandez l’attestation d’assurance responsabilité civile professionnelle en cours de validité, le montant de garantie et, explicitement, si elle couvre un dommage survenu en environnement de production. C’est une pièce standard d’un dossier d’achat français, au même titre que le justificatif d’immatriculation et l’attestation de vigilance — ou son équivalent délivré dans l’État d’établissement lorsque le prestataire n’est pas établi en France.

Demandez enfin qui exécute réellement la mission. Il arrive que les noms du devis et les personnes affectées au projet forment deux ensembles distincts.

Les certifications : ce que chacune prouve réellement

La ligne de partage passe entre un examen pratique conduit sur un système réel et un questionnaire à choix multiples portant sur la gouvernance de la sécurité.

Quand une qualification de l’État est réellement exigée

C’est la question que tout acheteur français finit par poser, et la plupart des prestataires ont un intérêt commercial à la laisser floue. Voici la réponse telle que nous la formulons.

La qualification PASSI — prestataire d’audit de la sécurité des systèmes d’information — est délivrée par l’ANSSI au titre du décret n° 2015-350 du 27 mars 2015. C’est une démarche volontaire, et elle couvre les cinq portées citées plus haut. Elle n’est pas requise pour un test d’intrusion commandé par une entreprise privée.

Elle devient déterminante dans trois situations :

• Les contrôles des systèmes d’information d’importance vitale ordonnés au titre de l’article L. 1332-6-3 du code de la défense, qui sont réalisés par l’ANSSI, par des services de l’État désignés par le Premier ministre, ou par des prestataires de service qualifiés.
• Les marchés publics dont le cahier des charges l’inscrit comme critère : il s’agit alors d’une exigence contractuelle de l’acheteur, non d’une obligation légale générale.
• Les démarches adossées à une qualification de l’ANSSI, lorsque le référentiel applicable impose lui-même un prestataire qualifié.

En dehors de ces cas — un éditeur SaaS, une PME ou une ETI, un programme ISO 27001, la préparation d’un acheteur privé — le choix vous appartient entièrement, et c’est exactement pour cela que les huit questions ci-dessus existent.

Sur la directive (UE) 2022/2555 (NIS 2), un point mérite d’être dit clairement, parce que beaucoup de contresens circulent : la directive n’est pas encore transposée en droit français. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité est en cours d’examen parlementaire. Aucune obligation française de recourir à un prestataire qualifié n’en découle à ce jour. L’ANSSI écrit elle-même, dans sa FAQ consacrée à NIS 2 :

« Il peut être pertinent de recourir si besoin aux prestataires ou solutions qualifiés par l’ANSSI mais cela n’est pas une obligation. »

Notre position, sans ambiguïté : Haxoris ne détient pas la qualification PASSI et ne soumissionne pas sur les prestations relevant des systèmes d’information d’importance vitale. Nous ne délivrons aucun certificat, ne nous prononçons pas sur votre conformité et ne réalisons pas d’audit de certification. Notre part, c’est le travail technique et la preuve : un rapport que votre auditeur peut verser à son propre dossier. Le sujet est repris en détail dans faut-il un prestataire qualifié pour votre test d’intrusion.

Ce que le contrat doit dire

Une convention de test d’intrusion ne se résume pas à une ligne sur la « réalisation de contrôles de sécurité ». L’absence des clauses ci-dessous passe inaperçue à la signature : elle se remarque le jour où quelque chose tourne mal.

• Périmètre. Adresses, domaines, applications, rôles et comptes de test. Les exclusions listées séparément, avec les systèmes de tiers pour lesquels aucune autorisation n’existe.
• Fenêtre de test. Jours et heures ouvrés, et si les contrôles les plus lourds se déroulent hors des heures de bureau. Sans cette clause, la première alerte déclenche une cellule de crise inutile.
• Contacts et escalade. Qui décroche de part et d’autre, la nuit, si un test met un service à l’arrêt — ou si le consultant tombe sur les traces d’une intrusion bien réelle. Le second cas se produit plus souvent que les devis ne le laissent croire.
• Traitement des preuves. Lieu de conservation, accès, durée, date de destruction, et le contrat de sous-traitance si des données personnelles sont concernées.
• Accord de confidentialité. Signé avant la réunion de cadrage, pas après : le seul cadrage expose déjà votre architecture.
• Assurance responsabilité civile professionnelle. Existence, montant, et couverture d’un dommage en production.
• Publicité et références. Le prestataire peut-il vous citer comme client, publier un cas client, ou signaler une vulnérabilité découverte à l’éditeur concerné ? Le cas échéant : sous quel délai et avec quel accord.
• Contre-audit. Inscrit au contrat, avec un délai et un prix — ou inclus.
• Sous-traitance. Qui exécute, et la possibilité de refuser un intervenant.

À quoi ressemble un rapport qui mérite son prix

Le rapport est le seul résultat durable du test. Dans un an, personne ne se souviendra des réunions, et un auditeur réclamera un document. Un rapport exploitable contient :

• une synthèse managériale en langage d’entreprise, lisible par un comité de direction ;
• le nombre de constats et leur répartition par niveau de risque ;
• pour chaque constat : un identifiant et un intitulé, une cotation selon CVSS, une description technique accompagnée de la preuve permettant de reproduire le constat, puis une recommandation de remédiation concrète ;
• un plan de remédiation priorisé, distinguant ce qui se corrige dans la semaine de ce qui relève d’un chantier.

La forme du rapport cesse d’être une affaire de goût dès lors qu’il sert de preuve. Dans un programme ISO/IEC 27001, il alimente directement les mesures de l’annexe A relatives à la gestion des vulnérabilités techniques et aux tests de sécurité. Pour un acheteur qui anticipe la directive (UE) 2022/2555, il documente le caractère effectif des mesures. Dans les deux cas, vous voulez un document qu’un second lecteur comprendra encore dans un an — rédigé en français, et non traduit à la hâte depuis une trame anglaise.

Les signaux d’alerte

• Un scan vendu comme un test d’intrusion. Reconnaissable à ceci : chaque constat porte une description issue d’une base de vulnérabilités, et aucun ne porte de preuve d’exploitation. Un audit de vulnérabilités est une prestation autonome, moins coûteuse et parfaitement légitime — simplement, ce n’est pas un test, et cela ne se facture pas comme tel. Les deux sont comparés dans scan de vulnérabilités ou test d’intrusion.
• Un prix annoncé avant le cadrage. Qui avance un montant sans connaître le nombre d’applications, de rôles et d’intégrations devine, ou prépare un scan.
• Un devis sans contre-audit. Sans vérification des correctifs, il vous reste une liste de tâches que personne ne vient clore.
• « Une équipe d’experts certifiés » sans un seul nom. Un prestataire qui ne nomme pas ses consultants et ne produit aucun numéro vérifiable vous propose une publicité, pas une référence.
• Un rapport livré sans restitution. Le document seul laisse vos équipes techniques et votre direction en tirer deux conclusions différentes.
• Un engagement de conformité. Un prestataire technique constate et démontre ; il ne certifie pas, et il ne déclare pas votre entreprise conforme à un texte.

Vous souhaitez nous appliquer cette grille ? C’est précisément l’objectif : demandez-nous les noms, les numéros de certification, l’exemple de rapport et la ligne « contre-audit » du devis. Demandez un devis et nous répondons par écrit, sous 24 heures.

Nos services associés : tests d’intrusion sur vos applications et vos infrastructures · audit de sécurité informatique de votre environnement · audit de vulnérabilités de vos systèmes et de vos applications · Red Team – une simulation d’attaque réaliste