Conseil, durcissement et audit de code source
Autres prestations
Toutes les questions de sécurité ne se règlent pas par un test d’intrusion. Certaines se jouent dans un fichier de configuration, dans un modèle de droits ou dans trente lignes de code source. Nous examinons vos paramétrages, vos habilitations, vos processus de développement et votre code, puis nous vous disons où naît le risque et par quoi commencer.
Votre besoin n’entre dans aucune case du catalogue ? Décrivez-le. Nous cadrons le périmètre sur l’environnement tel qu’il tourne aujourd’hui, pas tel qu’il est décrit dans la documentation, et nous chiffrons la charge en jours-homme. Toutes nos interventions sont réalisées sur mandat écrit, dans un périmètre défini contractuellement (articles 323-1 et suivants du code pénal).
Ils nous font confiance
Objectifs : répondre aux questions qu’un test d’intrusion ne tranche pas
Un test d’intrusion (pentest) répond à une question précise : peut-on entrer, et jusqu’où ? Il ne dit pas pourquoi la faille existe, ni si le réglage qui l’a rendue possible se répète sur cinquante autres serveurs. C’est le travail des prestations réunies sur cette page. Selon le contexte, une mission poursuit un ou plusieurs de ces objectifs.
- Comprendre l’origine d’un constat : une vulnérabilité exploitée pendant un pentest vient presque toujours d’un choix de configuration, d’une habilitation trop large ou d’un contrôle d’autorisation écrit trop vite.
- Réduire la surface d’attaque avant de la tester : durcir ce qui est manifestement exposé coûte moins cher que de le faire démontrer, puis corriger dans l’urgence.
- Arbitrer une décision d’architecture : migration vers le cloud, ouverture d’une API à des partenaires, refonte de l’authentification. Mieux vaut en parler avant la mise en production qu’après.
- Répondre à une exigence contractuelle : questionnaire de sécurité reçu d’un grand compte, clause d’un marché, préparation d’un audit interne ISO 27001, anticipation de la directive (UE) 2022/2555 (NIS 2).
- Faire relire le code des chemins critiques : authentification, autorisation, paiement, traitement de données personnelles, intégrations tierces.
Si vous hésitez entre plusieurs de ces prestations, décrivez-nous ce qui a déclenché la question. Nous vous dirons laquelle y répond, quitte à vous orienter vers la moins chère — ou vers un audit de sécurité informatique complet si l’ampleur du besoin le justifie.
Nos prestations complémentaires
Le travail porte sur des réglages, des habilitations, du code et des processus, pas sur la rédaction d’un document. Chaque mission se conclut par des constats vérifiables et une suite d’actions ordonnée.
Conseil en sécurité
Nous posons les priorités et les étapes concrètes. L’arbitrage s’appuie sur des faits vérifiés dans votre environnement, pas sur une impression de maturité.
Audit de configuration
Nous confrontons les réglages de vos serveurs, de vos comptes cloud et de vos équipements réseau à une configuration de référence, et nous consignons chaque écart avec son niveau de risque.
Durcissement (hardening)
Nous renforçons serveurs, environnements cloud et applications. Moins il reste de services inutiles en écoute, moins un attaquant dispose de chemins praticables.
Audit de code source
Nous lisons le code là où les problèmes naissent : authentification, autorisation, traitement des entrées, gestion des sessions, cryptographie et stockage des secrets. Un pentest observe le comportement depuis l’extérieur ; l’audit de code source montre la cause.
Accompagnement au développement sécurisé
Modélisation des menaces dès la conception, exigences de sécurité inscrites dans les spécifications, tests de sécurité dans la chaîne d’intégration et un créneau régulier où vos développeurs posent leurs questions.
Missions sur mesure
Un besoin qui n’entre dans aucune case ? Décrivez l’objectif : nous définissons le périmètre, nous chiffrons la charge en jours-homme et nous disons ce que la mission ne couvrira pas.
Approches : boîte noire, boîte grise, boîte blanche
Le marché français décrit les missions de sécurité offensive selon le niveau d’information transmis au prestataire. La même grille s’applique ici, avec une particularité : le conseil, l’audit de configuration, le durcissement et l’audit de code source se conduisent presque toujours en boîte blanche, parce qu’il n’y a rien à gagner à s’aveugler soi-même.
Boîte noire (black box)
Aucune information préalable, aucun compte, aucune documentation. L’approche mesure ce qu’un attaquant externe découvre seul. Pour une prestation de conseil ou de durcissement, elle n’a qu’un usage : établir en amont ce que votre exposition publique révèle, avant de regarder l’intérieur.
Boîte grise (grey box)
Un compte, un accès limité, une documentation partielle. C’est l’approche retenue lorsque nous devons juger un environnement sans y obtenir de droits d’administration : revue d’un tenant cloud avec un rôle en lecture seule, relecture d’un périmètre applicatif avec un compte utilisateur standard.
Boîte blanche (white box)
Accès complet : configurations exportées, matrice des habilitations, schémas d’architecture, code source, entretiens avec les équipes. C’est le mode par défaut de ces prestations. À budget égal, la boîte blanche couvre plusieurs fois plus de terrain que la boîte noire, parce que le temps passe en analyse plutôt qu’en découverte.
Le choix se discute au cadrage, et il n’est pas définitif : une revue de configuration en boîte blanche se prolonge souvent par une vérification en boîte grise, pour confirmer qu’un écart corrigé n’est effectivement plus exploitable. Les trois approches sont détaillées sur notre page test d’intrusion.
Périmètre et cadrage
Que regardons-nous concrètement ?
Le périmètre se cadre environnement par environnement, mais ces domaines reviennent dans la quasi-totalité des missions.
Configuration des serveurs
Durcissement du système d’exploitation, services en écoute, niveau de correctifs et configuration de référence appliquée de manière homogène.
Cloud et gestion des identités
Rôles, habilitations, stockage et règles d’accès. Dans les organisations françaises, cela commence le plus souvent par Microsoft 365 et Entra ID, que nous intégrons par défaut au périmètre.
Réseau et cloisonnement
Règles de pare-feu, VLAN, VPN et tout ce qui reste joignable depuis Internet, y compris les accès d’administration ouverts « provisoirement » il y a deux ans.
Paramétrage applicatif et code source
Réglages par défaut, stockage des clés et des secrets, configuration d’exécution. Lorsque c’est convenu, nous relisons le code des parcours d’authentification, d’autorisation et de paiement.
Journalisation et détection
Une attaque laisse-t-elle une trace exploitable ? Nous regardons ce que les journaux enregistrent, ce qui déclenche une alerte et combien de temps les données sont conservées.
Politiques et processus
Documentation, répartition des responsabilités et chaîne d’alerte. Pour une entité concernée par la directive (UE) 2022/2555 (NIS 2), l’article 23 de la directive prévoit une alerte précoce sous 24 h et une notification sous 72 h : encore faut-il savoir qui les rédige.
Notre méthodologie
Nous ne partons pas d’une liste maison. Chaque prestation s’appuie sur un référentiel public, ce qui permet de rattacher chaque constat à un point de contrôle nommé, que votre équipe — ou votre auditeur — peut vérifier sans nous croire sur parole.
- OWASP ASVS — la grille de l’audit de code source et de la revue applicative : chaque constat renvoie à une exigence numérotée. Voir OWASP ASVS.
- OWASP WSTG — le guide de test des interfaces web, lorsque la mission comporte une vérification dynamique. Voir OWASP WSTG.
- OWASP MASTG — pour les composants mobiles et les API qu’ils consomment.
- PTES — pour la structure de la mission technique : cadrage, collecte d’information, analyse, exploitation contrôlée, restitution.
- CIS Benchmarks et guides de configuration de l’ANSSI — les configurations de référence auxquelles nous comparons vos systèmes, système d’exploitation par système d’exploitation.
L’outillage a sa place : un scanner parcourt en quelques minutes ce qu’un auditeur mettrait deux jours à inventorier. Il ne décide de rien. Chaque constat produit automatiquement est rejoué à la main avant d’entrer dans le rapport, et celui qui ne se reproduit pas n’y figure pas. L’ensemble des référentiels que nous utilisons est présenté sur notre page méthodologies.
Déroulement
Comment se déroule une mission ?
À chaque étape, vous savez ce que nous faisons, pourquoi nous le faisons et ce qu’il en reste. Les surprises ne sont pas réservées au rapport final.
Cadrage et mandat écrit
Nous prenons connaissance de l’environnement et des objectifs, puis nous consignons par écrit ce qui entre dans le périmètre et ce qui en sort. Ce mandat est ce qui rend l’intervention licite au regard des articles 323-1 et suivants du code pénal.
Revue et analyse de risque
Nous examinons réglages, habilitations, processus et, lorsque c’est convenu, le code source. Les faiblesses sont réunies dans une liste unique, classée par risque et non par emplacement dans l’infrastructure.
Durcissement et recommandations
Nous ne nous contentons pas de décrire ce qui doit changer. Les modifications sont appliquées dans un ordre défini, avec l’équipe qui exploite les systèmes, par fenêtres convenues à l’avance pour que la production continue de tourner.
Restitution et contre-audit
Nous remettons le rapport, nous l’expliquons en visioconférence, puis nous vérifions les correctifs. Ce contre-audit est inclus, dans les 90 jours suivant la remise du rapport.
Livrables : rapport, restitution et contre-audit
Vous n’achetez pas un fichier PDF, vous achetez de quoi décider et de quoi corriger.
- Un rapport en français : chaque constat avec son niveau de risque, la preuve associée, la cause et l’action à mener. Vos administrateurs y trouvent la commande à exécuter, votre direction une synthèse managériale de deux pages.
- Une feuille de route hiérarchisée : les constats sont cotés en risque et en effort de correction, ce qui transforme une liste en plan de travail tenable sur un trimestre.
- Une restitution : une heure en visioconférence avec la personne qui a réalisé la mission, pas avec un commercial. Un déplacement sur site est possible si vous le souhaitez, mais la visioconférence est notre format par défaut et elle est comprise dans le prix.
- Un contre-audit inclus, sans surcoût : dans les 90 jours suivant la remise du rapport, nous rejouons les points corrigés et nous vous remettons un document attestant des écarts refermés.
Un exemple de rapport anonymisé vous est remis avant signature : vous savez exactement ce que vous recevrez, et sur quoi vous comparez les devis.
Dernière vérification des références juridiques citées sur cette page : 11 septembre 2026.
Pourquoi choisir Haxoris ?
Des prestataires capables de relire une configuration, il en existe beaucoup. La différence tient à ce qu’il vous reste ensuite, et à ce que vous pouvez vérifier avant de signer.
Certifications de notre équipe
Contre-audit inclus, sans surcoût :
La vérification des correctifs fait partie de la mission, dans les 90 jours suivant la remise du rapport. Vous obtenez un document attestant des écarts refermés, sans ligne supplémentaire sur la facture.
Nos tarifs sont publics :
Nos fourchettes en € HT et notre unité de compte, le jour-homme, sont publiées avant tout rendez-vous. Le devis dit ce qui est couvert et ce qui ne l’est pas : vous comparez sur des chiffres.
Vous savez qui intervient :
Le nom, le parcours et les certifications du consultant affecté vous sont communiqués avant la signature, et c’est cette même personne qui anime la restitution. Aucune équipe interchangeable.
Nous disons ce que nous ne faisons pas :
Nous ne délivrons ni certificat ni attestation de conformité, et nous ne soumissionnons pas sur les prestations réservées à des prestataires de service qualifiés. Ce que nous produisons, ce sont les constats techniques sur lesquels votre auditeur s’appuie.
Témoignages clients
Ce que nos clients disent de nous
Foire aux questions
01 Combien coûte une prestation de conseil, d’audit de configuration ou de durcissement ?
Le prix se calcule en jours-homme, comme sur l’ensemble du marché français. La plupart de ces missions représentent 2 à 10 jours-homme, soit un budget compris entre 2 000 et 9 000 € HT selon la taille de l’environnement et le nombre de systèmes à couvrir. Une réunion de cadrage de trente minutes suffit à fixer la charge, et le devis qui suit est ferme et gratuit.
Contrairement à l’usage du marché, nos fourchettes et notre tarif journalier sont publiés : vous les consultez dans notre article combien coûte un test d’intrusion avant même de nous parler.
02 Combien de jours-homme faut-il prévoir ?
Un audit de configuration portant sur une dizaine de serveurs ou sur un tenant Microsoft 365 tient généralement en 2 à 4 jours-homme. Un audit de code source limité aux parcours critiques d’une application demande 3 à 8 jours-homme selon le volume et le langage. Le durcissement dépend surtout du nombre de systèmes et de vos fenêtres d’intervention. L’accompagnement au développement sécurisé se calibre en journées réparties sur le trimestre plutôt qu’en mission unique.
03 Boîte noire, boîte grise ou boîte blanche : que choisir pour ce type de mission ?
La boîte blanche, dans l’immense majorité des cas. Une prestation de conseil, de configuration ou de code n’a rien à gagner à ignorer l’architecture : à budget égal, l’accès complet couvre plusieurs fois plus de terrain. La boîte noire garde son intérêt pour mesurer ce qu’un attaquant externe découvre sans aide ; c’est alors un test d’intrusion qu’il faut commander, pas un audit de configuration.
04 Le contre-audit est-il inclus ?
Oui, sans surcoût, dans les 90 jours suivant la remise du rapport. Nous rejouons les points corrigés et vous recevez un document attestant des écarts refermés, utile face à un client, à un assureur ou à un auditeur. Peu de prestataires l’incluent dans le prix ; c’est un choix de notre part, et il figure noir sur blanc dans le devis.
05 Faut-il un prestataire qualifié ?
Pas pour une prestation commandée par une entreprise privée. Les qualifications délivrées par l’ANSSI relèvent d’une démarche volontaire instituée par le décret n° 2015-350 du 27 mars 2015 ; elles ne conditionnent pas un audit de configuration, un durcissement ou une revue de code contractuels. L’ANSSI l’écrit elle-même : « Il peut être pertinent de recourir si besoin aux prestataires ou solutions qualifiés par l’ANSSI mais cela n’est pas une obligation. »
Haxoris ne détient aucune qualification délivrée par l’ANSSI et ne le laisse pas entendre. Les contrôles des systèmes d’information d’importance vitale ordonnés au titre de l’article L. 1332-6-3 du code de la défense sont réalisés par l’ANSSI, par des services de l’État désignés par le Premier ministre, ou par des prestataires de service qualifiés : nous ne soumissionnons pas sur ces prestations. Les questions à poser à un prestataire sont détaillées dans notre article comment choisir un prestataire de test d’intrusion.
06 Délivrez-vous une attestation ou un certificat ?
Non. Nous remettons un rapport technique, pas une attestation de conformité. Un certificat ISO/IEC 27001 n’est délivré que par un organisme de certification accrédité, et les règles d’impartialité interdisent à un consultant de certifier son propre client. Ce que nous fournissons, ce sont les constats techniques et les preuves sur lesquels votre auditeur s’appuie, y compris pour un audit interne ou un audit à blanc : voir notre page ISO 27001.
07 Ce type de mission est-il exigé par la réglementation ?
Aucun texte français n’impose une prestation précise. Le RGPD est ce qui s’en approche le plus : l’article 32(1)(d) demande, le cas échéant, « une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles ». Une revue périodique de configuration est exactement une procédure de ce type.
La directive (UE) 2022/2555 (NIS 2) n’est pas encore transposée en droit français : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité est en cours d’examen parlementaire. Il s’agit donc d’anticipation, pas de mise en conformité obligatoire. Nous traitons le sujet sur notre page NIS 2.
08 Intervenez-vous à distance ?
Oui, partout en France. Le conseil, l’audit de configuration et l’audit de code source se conduisent intégralement à distance. Le durcissement se fait avec vos administrateurs, par fenêtres convenues à l’avance.
Haxoris est un prestataire européen : les données collectées pendant la mission restent dans l’Union européenne et le traitement est encadré par un contrat de sous-traitance au sens de l’article 28 du RGPD. Lorsque vous préférez que le code source ne quitte pas vos systèmes, nous travaillons dans votre propre environnement, sous accord de confidentialité.
09 Et si mon besoin ne figure dans aucune de ces prestations ?
Décrivez l’objectif et l’environnement. Nous définissons ensemble le périmètre et la charge, et nous vous disons ce que la mission couvre — ou qu’elle ne relève pas de nous. Si le besoin est plutôt une sensibilisation de vos collaborateurs, un audit de vulnérabilités ou un test d’ingénierie sociale, nous vous orienterons vers la bonne prestation plutôt que vers la plus chère.
