Qu’est-ce qu’un test d’intrusion (pentest) ?

Qu’est-ce qu’un test d’intrusion ?

Un test d’intrusion — « pentest » dans le langage du métier — est une attaque simulée contre un système d’information, conduite par des spécialistes de la sécurité offensive, sur mandat écrit de l’organisation qui en a la maîtrise, dans un périmètre défini contractuellement et pendant une fenêtre convenue.

Le pentesteur ne s’arrête pas lorsqu’il repère une faiblesse : il cherche à l’exploiter, puis à l’enchaîner avec d’autres défauts pour montrer jusqu’où irait un attaquant réel. Le résultat n’est pas un tableau d’alertes, c’est une chaîne démontrée — d’une adresse exposée vers un compte, de ce compte vers un serveur, de ce serveur vers vos données clients.

C’est ce qui rend le rapport utilisable : une liste de faiblesses théoriques ne se hiérarchise pas, une chaîne d’exploitation se hiérarchise — y compris par un comité de direction sans culture technique.

Le mandat écrit : ce qui sépare le test de l’infraction

Un test d’intrusion n’est licite que parce qu’il est autorisé. Tous nos tests sont réalisés sur mandat écrit ; sans cette autorisation, les mêmes actes tombent sous les articles 323-1 et suivants du code pénal, qui répriment l’accès et le maintien frauduleux dans un système de traitement automatisé de données.

Le mandat fixe cinq points : qui autorise — une personne ayant le pouvoir de disposer du système —, sur quoi porte le test, ce qui reste hors périmètre, quand la mission a lieu, et qui joindre en cas d’incident. Si le système est hébergé chez un tiers (cloud, infogérance, éditeur SaaS), vérifiez aussi le contrat d’hébergement.

Test d’intrusion ou audit de vulnérabilités ?

C’est la confusion la plus fréquente, et elle n’est pas théorique : elle change le prix dans un rapport de un à plusieurs.

Un audit de vulnérabilités repose largement sur l’outillage : un scan compare les versions et les configurations en place à une base de défauts connus, puis l’auditeur trie, valide et priorise. C’est utile, rapide et justifié comme mesure d’hygiène récurrente.

Un test d’intrusion commence là où cette liste s’arrête. Le pentesteur écarte les faux positifs, enchaîne des défauts anodins considérés isolément, et cherche les erreurs de logique métier qu’aucun outil ne décrit : un code promotionnel utilisable deux fois, une étape de commande contournable, un virement accepté avec un montant négatif.

Le scan dit ce qui est obsolète ; le test dit ce qui est exploitable, et jusqu’où. L’arbitrage est détaillé dans scan de vulnérabilités ou test d’intrusion.

Boîte noire, boîte grise, boîte blanche

Ces trois expressions décrivent ce que le pentesteur sait avant de commencer ; le choix détermine surtout la façon dont les jours sont dépensés.

• Boîte noire (black box) — rien de plus qu’un inconnu : un domaine, une plage d’adresses. Réaliste, mais une partie des jours sert à cartographier ce que vous savez déjà.
• Boîte grise (grey box) — des comptes utilisateurs et une description de l’architecture. Le choix raisonnable pour la plupart des missions : le temps va aux failles, pas à la reconnaissance.
• Boîte blanche (white box) — documentation, schémas, souvent le code source. Le plus de constats par jour-homme, et la bonne approche avant une mise en production.

Quels systèmes peut-on tester ?

Le principe est le même quel que soit le périmètre : applications web et API, infrastructure et réseau (externe comme interne, Active Directory compris), applications mobiles iOS et Android, environnements cloud (AWS, Azure, GCP, Microsoft 365), objets connectés et systèmes embarqués, intégrations LLM (prompt injection, jailbreak, RAG) et ingénierie sociale — phishing (hameçonnage), vishing, smishing, avec des résultats agrégés et jamais nominatifs.

Comment se déroule une mission ?

Les intitulés varient selon le référentiel — OWASP WSTG, MASTG, PTES —, mais l’ordre est partout le même.

1. Cadrage — périmètre, règles d’engagement, mandat écrit, fenêtre d’intervention, contacts d’urgence. C’est ici que se joue la valeur de la mission.
2. Reconnaissance — sources ouvertes (OSINT) et documentation fournie. La surface réelle dépasse presque toujours la liste transmise.
3. Modélisation des menaces — ce qui a de la valeur, et les scénarios plausibles, pour que les jours aillent aux bons risques.
4. Recherche de vulnérabilités — scan ciblé et analyse manuelle. Ce qui reste ici sans vérification n’est pas un constat.
5. Exploitation — tentative réelle d’accès. Sans cette étape, vous avez un scan.
6. Post-exploitation — que vaut l’accès obtenu ? Données atteignables, élévation de privilèges, latéralisation.
7. Rapport et restitution — rédaction, puis présentation commentée des résultats.

Vient ensuite le contre-audit : après vos correctifs, nous revérifions les constats signalés — ce n’est pas un nouveau test. Chez Haxoris il est inclus dans le prix ; ailleurs il est parfois facturé en jours supplémentaires, alors posez la question avant de signer.

Que contient le rapport ?

Le rapport est le produit : tout ce qui le précède est un travail non transmissible. Il contient :

• une synthèse managériale : ce qui a été testé, ce qui a été démontré, ce que cela signifie pour l’activité ;
• pour chaque constat, la preuve d’exploitation (requêtes, captures, chemin suivi), une cotation du risque et un correctif précis ;
• une hiérarchisation utilisable : ce qu’il faut corriger cette semaine, ce mois-ci, ce trimestre.

S’y ajoute la restitution, attendue en France et parfois absente des offres : une session où les constats sont présentés et discutés. La nôtre se tient en visioconférence.

Combien coûte un test d’intrusion ?

Le prix se calcule en jours-homme multipliés par un taux journalier, en euros hors taxes. Le nombre de jours dépend du périmètre : applications concernées, rôles à tester, profondeur attendue, accès au code source, contre-audit ou non. Un prestataire qui annonce un montant avant d’avoir cadré le périmètre devine, ou vend un scan. Les fourchettes et la façon de lire un devis figurent dans combien coûte un test d’intrusion ?.

Qui peut réaliser un test d’intrusion en France ?

Aucun texte ne réserve le test d’intrusion à une profession réglementée : ce qui rend la mission licite, c’est le mandat écrit, pas un agrément.

Il existe en revanche une qualification volontaire délivrée par l’ANSSI, la qualification PASSI, instituée par le décret n° 2015-350 du 27 mars 2015. Elle couvre cinq activités d’audit, dont les tests d’intrusion, et n’est pas requise pour un test commandé par une entreprise privée. Les contrôles ordonnés au titre de l’article L. 1332-6-3 du code de la défense, eux, sont réalisés par l’ANSSI, par des services de l’État désignés par le Premier ministre, ou par des prestataires de service qualifiés. Haxoris n’est pas un prestataire qualifié PASSI et ne soumissionne pas sur ces prestations.

Ailleurs, l’examen du prestataire vous revient : demandez les noms des personnes qui feront le travail, leurs certifications individuelles, un rapport d’exemple anonymisé avant signature, et le détail du traitement des données collectées. Voir comment choisir un prestataire.

Et le cadre réglementaire ?

Aucune loi française n’impose « un test d’intrusion » en tant que tel. La disposition européenne qui le nomme le plus explicitement est l’article 32 du RGPD, qui range parmi les mesures à prendre « selon les besoins » une « procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ». Ce n’est pas une obligation absolue, mais c’est le texte que la CNIL lit lorsqu’elle examine la sécurité d’un traitement.

La directive (UE) 2022/2555 (NIS 2), elle, n’est pas transposée en droit français : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité est en cours d’examen parlementaire. Une obligation française présentée comme issue de NIS 2 relève donc de l’anticipation ; tester ce que vous exploitez déjà comptera quel que soit le texte final.

Par où commencer

Vous vous demandez quoi tester chez vous, et dans quel ordre ? Consultez notre page test d’intrusion (pentest), ou demandez un devis : nous cadrons le périmètre avec vous avant d’annoncer un montant.

Nos services associés : tests d’intrusion sur vos applications et vos infrastructures · audit de vulnérabilités de vos systèmes et de vos applications