Audit de vulnérabilités
Un audit de vulnérabilités recense les failles connues de votre système d’information — serveurs, postes de travail, applications web, API et comptes cloud — puis les classe par criticité. Nous associons un scan outillé qui couvre la totalité du périmètre et une validation manuelle de chaque résultat : le rapport ne contient que des vulnérabilités réelles, atteignables dans votre environnement, et non une liste brute de remontées d’outil.
Vous repartez avec une photographie datée de votre exposition et un plan de remédiation ordonné : ce qu’il faut corriger cette semaine, ce qui peut attendre le trimestre. Le contre-audit est inclus, sans surcoût.
Ils nous font confiance
Objectifs d’un audit de vulnérabilités
L’audit de vulnérabilités est un examen systématique de vos systèmes, de vos applications et de votre infrastructure réseau. Il identifie les vulnérabilités déjà connues et les défauts de configuration, les classe par gravité et en déduit un ordre de correction. Son objectif n’est pas d’entrer dans votre système : il est d’en dresser la carte complète des faiblesses à une date donnée, sur la totalité du périmètre plutôt que sur une cible unique.
À ne pas confondre avec la gestion des vulnérabilités, qui désigne un processus continu que vous pilotez en interne : scanner en permanence, corriger, mesurer les délais. Ce que nous réalisons ici est une prestation bornée, avec un début, une fin et un rapport validé à une date donnée.
Le texte le plus direct n’est pas celui que le marché met en avant, c’est le RGPD. Son article 32, paragraphe 1, point d) prévoit « une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ». Un audit de vulnérabilités périodique est précisément une procédure de ce type. La directive (UE) 2022/2555 (NIS 2), elle, n’est pas encore transposée en droit français ; nous traitons ce sujet sur notre page NIS 2. Dernière vérification : 11 septembre 2026.
Concrètement, qu’est-ce que l’audit vous apporte ?
Corriger avant l’exploitation
Vous refermez la faille avant celui qui l’aurait utilisée. Les vulnérabilités connues sont surtout exploitées longtemps après la publication du correctif : c’est le délai de correction qui fait la différence, bien plus que la sophistication de l’attaquant.
Une preuve que vous pouvez produire
Le rapport atteste que vos mesures ont réellement été contrôlées : pour votre auditeur ISO/IEC 27001, au titre de l’article 32 du RGPD, ou face au questionnaire sécurité fournisseur d’un grand compte.
Un ordre de traitement réaliste
Vous commencez par ce qui menace votre activité, et non par ce qui figurait en tête de la sortie du scanner. Chaque vulnérabilité reçoit une note CVSS, puis une pondération selon son exposition effective dans votre périmètre.
Une vision d’ensemble datée
Vous savez où vous en êtes sur la base d’une mesure et non d’hypothèses, y compris sur les sous-domaines oubliés, les interfaces d’administration ouvertes et les serveurs de recette exposés.
Comparaison
Audit de vulnérabilités ou test d’intrusion ?
Les deux prestations sont utiles, mais elles ne répondent pas à la même question. En une phrase : l’audit de vulnérabilités trouve toutes les portes, le test d’intrusion (pentest) en ouvre quelques-unes et regarde jusqu’où il peut aller ensuite.
L’audit de vulnérabilités est large, rapide et peu coûteux. Il détecte des vulnérabilités connues — CVE publiées, versions obsolètes, services exposés, configurations laissées par défaut — sur la totalité du périmètre. Le test d’intrusion est profond et majoritairement manuel : il exploite les failles, les enchaîne et démontre l’impact métier réel d’un chemin d’attaque, y compris des défauts de logique applicative qu’aucun outil ne détecte.
Lequel choisir ? Si vous n’avez encore rien mesuré, commencez par l’audit de vulnérabilités : il vous donne une base complète pour un coût réduit. Si vous devez démontrer la résistance d’une application critique ou d’un domaine Active Directory, c’est un test d’intrusion qu’il vous faut. L’article 32 du RGPD demande de tester régulièrement l’efficacité des mesures, et un audit trimestriel y répond de façon économique ; un client qui exige un rapport de test d’intrusion dans son questionnaire fournisseur, lui, ne s’en satisfera pas.
| Critère | Audit de vulnérabilités | Test d’intrusion |
|---|---|---|
| Objectif | Recenser et classer le plus grand nombre de vulnérabilités connues (largeur). | Exploiter et enchaîner les failles pour démontrer un impact métier réel (profondeur). |
| Méthode | Scan outillé sur tout le périmètre, puis validation manuelle de chaque résultat. | Travail manuel majoritaire : l’auditeur progresse comme un attaquant. |
| Ce qu’il met au jour | Vulnérabilités publiées (CVE), versions obsolètes, configurations par défaut, services exposés. | Tout cela, plus les défauts de logique métier, les contournements d’habilitation et les chaînes d’attaque. |
| Fréquence | Régulière : trimestrielle, et après chaque changement structurant. | Annuelle, et avant chaque mise en production majeure. |
| Livrable | Liste complète des vulnérabilités, notation CVSS et ordre de remédiation. | Scénarios d’attaque, preuves d’exploitation et évaluation de l’impact métier. |
| Effort courant | 2 à 5 jours-homme selon le périmètre. | 5 à 20 jours-homme selon la cible. |
Vous hésitez ? Décrivez-nous votre périmètre et nous vous dirons franchement lequel répond à votre besoin, y compris lorsque c’est le moins cher des deux. Nous détaillons la comparaison dans notre article scan de vulnérabilités ou test d’intrusion.
Périmètre
Types et périmètre : que couvre l’audit ?
Un attaquant ne choisit pas, il prend ce qu’il trouve. Un audit de vulnérabilités d’infrastructure couvre donc l’ensemble de votre environnement numérique, et non les seuls systèmes dont on parle en comité. Le périmètre est arrêté par écrit avant le démarrage — plages d’adresses IP, noms de domaine, applications, comptes cloud — et rien d’autre n’est examiné.
Réseaux externe et interne
Serveurs, postes de travail, équipements réseau et tout ce qui reste visible depuis Internet. Pour aller en profondeur sur ce même périmètre, la suite logique est un test d’intrusion externe et interne.
Applications web et mobiles
Injections SQL, XSS, défauts d’authentification et d’habilitation, composants tiers non mis à jour. S’il s’agit d’une application précise, un pentest web ou un pentest mobile vous mènera plus loin.
Environnements cloud
Nous contrôlons les configurations AWS, Azure et Google Cloud. Dans les organisations françaises, le cloud commence le plus souvent par Microsoft 365 et Entra ID : nous les intégrons par défaut au périmètre. Pour un examen approfondi, voir le pentest cloud.
Bases de données
Droits d’accès, chiffrement des données au repos et configuration de Microsoft SQL Server, PostgreSQL et MongoDB. Une fuite à cet endroit se traduit généralement par une notification à la CNIL dans les 72 heures.
API et échanges entre systèmes
C’est par les API que circulent vos données les plus structurées. Nous vérifions qui y accède, si une habilitation peut être contournée et si des interfaces de préproduction sont restées joignables.
Objets connectés et systèmes industriels
Équipements de production, automates et objets connectés. Sur un environnement OT en fonctionnement, nous restons en écoute passive et validons chaque action active avec vos équipes au préalable. Pour aller plus loin : pentest IoT.
Approches
Approches : boîte noire, boîte grise, boîte blanche
L’approche détermine la quantité d’informations que nous recevons avant de commencer, et donc la couverture que vous obtenez pour le même budget. Disposer d’éléments en amont ne rend pas l’audit moins réaliste : cela évite simplement de consommer des jours-homme à redécouvrir ce que vous savez déjà. Nous vous recommandons l’approche au moment du cadrage, avec le nombre de jours correspondant.
Boîte noire (black box)
Nous démarrons sans aucune information, à partir de ce qui est publiquement observable : noms de domaine, plages d’adresses IP, services exposés, données issues de sources ouvertes. C’est la vision d’un attaquant extérieur au premier jour. Utile pour mesurer votre surface d’exposition réelle — mais ce qui n’est pas découvert n’est pas examiné, et la couverture reste partielle.
Boîte grise (grey box)
Nous recevons la liste des actifs, un compte par profil d’utilisateur et une documentation générale. C’est l’approche retenue dans la grande majorité des audits de vulnérabilités : elle rapporte le plus de couverture par jour-homme engagé, et elle correspond au scénario le plus fréquent dans la réalité, celui d’un compte légitime compromis.
Boîte blanche (white box)
Nous disposons des comptes, des schémas d’architecture, des configurations et, le cas échéant, du code source et de l’inventaire des dépendances. La couverture est complète : versions exactes des composants, bibliothèques vulnérables, paramètres de durcissement. C’est l’approche à privilégier sur les systèmes les plus critiques et avant une mise en production.
Notre méthodologie
Notre méthodologie et le déroulement de l’audit
Nos audits s’appuient sur des référentiels publics, vérifiables par vos équipes comme par votre auditeur : OWASP et son guide de test WSTG pour le volet applicatif web, MASTG pour les applications mobiles, PTES pour la conduite de la mission, et la notation CVSS pour la gravité. Chaque vulnérabilité publiée est rapprochée de son identifiant CVE et de son statut d’exploitation connue. Le détail est publié sur nos pages OWASP et OWASP WSTG.
Un outil couvre vite l’ensemble du périmètre, mais toutes ses remontées ne sont pas réelles. Un auditeur reprend donc chaque résultat, et sur un audit courant cette étape retire entre un tiers et la moitié des lignes brutes produites par les outils : dans le rapport, il ne reste que ce qui est effectivement atteignable chez vous.
Cadrage et autorisation écrite
Nous fixons ensemble l’objectif, le périmètre et la liste des actifs : plages d’adresses IP, domaines, applications, comptes cloud. La note de cadrage précise les fenêtres d’intervention et les personnes à joindre en cas d’incident. Nous ne démarrons qu’après réception de votre autorisation écrite : c’est elle qui rend l’intervention licite au regard des articles 323-1 et suivants du code pénal.
Cartographie et reconnaissance
Nous recensons ce qui est réellement en ligne : sous-domaines oubliés, services exposés, interfaces d’administration accessibles, certificats expirés, environnements de recette laissés ouverts. Cette étape fait fréquemment apparaître des actifs absents de l’inventaire transmis — statistiquement les plus vulnérables, parce que personne ne les met à jour.
Scan outillé du périmètre
Nous parcourons l’infrastructure au moyen d’un scan de vulnérabilités conduit avec Nessus, OpenVAS et Nuclei, complété par des contrôles propres aux technologies rencontrées. Vulnérabilités connues (CVE), ports ouverts, versions obsolètes et erreurs de configuration remontent à cette étape, avec des tests calibrés pour ne pas dégrader un service en production.
Validation manuelle et analyse
Nos auditeurs vérifient chaque remontée, écartent les faux positifs et recherchent ce qu’aucun outil ne voit : habilitations trop larges, secrets en clair dans un fichier de configuration, dépendances vulnérables enchaînées. Chaque vulnérabilité conservée est ensuite repondérée selon son exposition réelle : une faille critique sur un serveur isolé ne prime pas sur une faille moyenne exposée sur Internet.
Rapport, restitution et contre-audit
Vous recevez le rapport en français, avec une synthèse managériale et le détail technique. Nous le présentons ensuite à vos équipes en visioconférence, questions comprises. Une fois vos correctifs déployés, le contre-audit est inclus dans le prix, sans surcoût, dans les 90 jours suivant la remise du rapport.
Livrables
Livrables : rapport, restitution et contre-audit
Un audit ne vaut que par ce qu’il en reste une fois l’intervention terminée. Quatre livrables, systématiquement, et aucun d’entre eux n’est facturé en supplément.
Rapport en français
Une synthèse managériale de deux pages pour la direction, puis le détail technique : description, preuve, gravité CVSS, actif concerné et correction proposée, vulnérabilité par vulnérabilité. La version anglaise est fournie sur demande, sans supplément.
Plan de remédiation priorisé
Les vulnérabilités sont classées dans un ordre de traitement réaliste : ce qui doit être corrigé cette semaine, ce qui tient le trimestre, ce qui relève d’une évolution d’architecture. Vos équipes savent par quoi commencer le lundi matin.
Restitution en visioconférence
Une session avec vos équipes techniques et, si vous le souhaitez, votre direction : nous reprenons les constats, répondons aux questions et arbitrons les priorités avec vous. En France l’usage veut que la restitution se tienne sur site ; la nôtre se tient en visioconférence, avec l’auditeur qui a réalisé le travail.
Contre-audit inclus
Après correction, nous revérifions les vulnérabilités identifiées et vous remettons un addendum au rapport indiquant, ligne par ligne, ce qui est refermé et ce qui reste ouvert. Inclus dans le prix, dans les 90 jours suivant la remise du rapport.
Pourquoi Haxoris ?
Les prestataires capables de lancer un scan ne manquent pas. La différence se joue sur ce qui vous reste à la fin : un rapport exploitable par vos développeurs, un interlocuteur unique qui a réellement conduit l’audit, et une vérification des correctifs qui ne vous est pas refacturée.
Certifications de notre équipe
Contre-audit inclus, sans surcoût
Après le déploiement de vos correctifs, nous revérifions les vulnérabilités identifiées dans les 90 jours suivant la remise du rapport. C’est compris dans le prix initial, et non facturé comme une journée supplémentaire.
Nos tarifs sont publics
Le prix se calcule en jours-homme : le plus souvent 2 à 5 pour un périmètre de PME ou d’ETI. Nous communiquons la fourchette en € HT et le tarif journalier dès le premier échange, et le devis détaille les jours poste par poste.
Vous savez qui teste
Le nom, le parcours et les certifications (OSCP, OSWE, CISSP) de l’auditeur affecté à votre mission vous sont communiqués avant la signature. Vous lui parlez directement pendant l’audit et lors de la restitution, sans intermédiaire commercial.
Prestataire européen, données dans l’UE
Haxoris est une société établie dans l’Union européenne. Les preuves collectées et le rapport restent dans l’UE : aucun transfert vers un pays tiers, donc pas de clauses contractuelles types à négocier, mais un accord de sous-traitance au titre de l’article 28 du RGPD.
Témoignages clients
Ce que nos clients disent de nous
Foire aux questions
01 Combien coûte un audit de vulnérabilités ?
Le prix se calcule en jours-homme : le plus souvent 2 à 5 pour un périmètre de PME ou d’ETI. Le nombre d’adresses IP, d’applications et de comptes cloud fait varier le chiffre, tout comme la présence d’un environnement industriel.
Nous communiquons la fourchette en € HT et le tarif journalier dès le premier échange, et le devis détaille les jours poste par poste. Le contre-audit est compris : il n’apparaît pas comme une ligne supplémentaire. Pour une prestation plus profonde, voir notre article sur le prix d’un test d’intrusion.
02 Combien de jours-homme faut-il prévoir ?
Deux à trois jours-homme suffisent pour un périmètre externe classique : quelques dizaines d’adresses IP, un ou deux sites web, un locataire Microsoft 365. Comptez quatre à cinq jours dès que le réseau interne, plusieurs domaines Active Directory ou un environnement industriel entrent dans le périmètre. Le nombre de jours figure dans le devis et nous nous y tenons : si le périmètre s’avère plus large que décrit, nous vous le signalons avant de consommer les jours, pas après.
03 Boîte noire ou boîte grise ?
En boîte grise, dans la grande majorité des cas : un audit de vulnérabilités vise la largeur, et recevoir la liste des actifs, un compte par profil et une documentation générale évite de dépenser des jours-homme à redécouvrir ce que vous connaissez déjà.
La boîte noire garde son intérêt quand la question posée est précisément « que voit un attaquant qui ne sait rien de nous ? » : c’est alors une mesure de surface d’exposition, pas un inventaire exhaustif. La boîte blanche se justifie sur les systèmes les plus critiques. Nous vous recommandons l’approche au cadrage, avec le nombre de jours correspondant.
04 À quelle fréquence faut-il refaire un audit ?
Un rythme trimestriel est praticable, complété par un audit après chaque changement structurant : nouveau système, mise à jour majeure, migration vers le cloud.
L’article 32, paragraphe 1, point d) du RGPD prévoit, « le cas échéant », une procédure visant à tester, analyser et évaluer régulièrement l’efficacité des mesures de sécurité. Un intervalle fixe et documenté est la façon la plus simple de rendre cette procédure démontrable. Dernière vérification : 11 septembre 2026.
05 Le contre-audit est-il inclus ?
Oui, et sans surcoût. Après le déploiement de vos correctifs, nous revérifions les vulnérabilités identifiées et vous remettons un addendum au rapport indiquant, ligne par ligne, ce qui est refermé et ce qui reste ouvert. Il est compris dans le prix initial, dans les 90 jours suivant la remise du rapport, là où le marché français le facture le plus souvent comme une journée supplémentaire.
06 Faut-il un prestataire qualifié ?
Pas pour un audit commandé par une entreprise privée. Les qualifications délivrées par l’ANSSI relèvent d’une démarche volontaire instituée par le décret n° 2015-350 du 27 mars 2015 ; elles ne conditionnent pas un audit de sécurité dans le secteur privé. L’ANSSI l’écrit elle-même : « Il peut être pertinent de recourir si besoin aux prestataires ou solutions qualifiés par l’ANSSI mais cela n’est pas une obligation. »
Haxoris ne détient aucune qualification délivrée par l’ANSSI, et nous préférons vous le dire nous-mêmes. Les contrôles des systèmes d’information d’importance vitale ordonnés au titre de l’article L. 1332-6-3 du code de la défense sont réalisés par l’ANSSI, par des services de l’État désignés par le Premier ministre, ou par des prestataires de service qualifiés : nous ne soumissionnons pas sur ces prestations.
Ce que nous vous donnons à la place : les noms et les certifications des auditeurs affectés à votre mission, un exemple de rapport anonymisé avant signature, et des témoignages clients que vous pouvez contacter. Nous développons la question dans notre article sur le choix d’un prestataire.
07 L’audit peut-il perturber nos systèmes en production ?
Non. Nous n’employons aucune technique susceptible d’interrompre un service ou d’altérer des données. Les étapes les plus intrusives sont validées à l’avance et l’audit peut être arrêté à tout moment sur un simple message. Sur un environnement industriel en fonctionnement, nous restons en écoute passive tant que vos automaticiens n’ont pas validé l’action envisagée.
L’audit se conduit intégralement à distance : la partie externe démarre sans accès à votre réseau, la partie interne demande un compte en lecture ou un point de raccordement.
08 Est-ce la même chose que la gestion des vulnérabilités ?
Non. La gestion des vulnérabilités est un processus continu que vous pilotez en interne : scanner en permanence, corriger, mesurer les délais, avec un responsable et une échéance par vulnérabilité. L’audit de vulnérabilités est une prestation bornée qui sert très souvent de mesure de référence, à partir de laquelle ce processus interne se construit.
Si votre besoin porte sur un périmètre plus large — architecture, configuration, code source, organisation — regardez plutôt notre audit de sécurité informatique.
