Un cadre précis.
Des conclusions utiles.
Une méthodologie OWASP documentée, sans boîte noire.
Préparer ma demande
Trois phases pour transformer
un constat technique en plan d'action.
Chaque livrable est signé cryptographiquement. Aucun scan n'est lancé sans accord explicite.
Notre approche suit la méthodologie OWASP Testing Guide v4.2 combinée à une analyse manuelle experte par des testeurs certifiés.
Chaque étape produit un livrable vérifiable et actionnable.
-
01
Cadrage du périmètre
Identification des actifs à examiner : sites, API, domaines, sous-domaines, applications métiers.
Livrable : périmètre validé conjointement, NDA signé, calendrier défini.
Durée : 1-2 jours.
-
02
Analyse technique et manuelle
Outils open-source (Nuclei, Nmap, sqlmap, Dalfox, WPScan) + validation manuelle par testeurs certifiés OSCP/CEH.
Livrable : rapport structuré avec scoring CVSS v4, preuves d'exploitation, plan de remédiation priorisé.
Durée : 3-7 jours selon complexité.
-
03
Plan d'action et restitution
Recommandations priorisées (Quick wins / Moyen terme / Long terme), retest inclus sous 30-90 jours, restitution 1h.
Livrable : rapport signé SHA-256 vérifiable cryptographiquement.
Durée : 5-10 jours après le test.
Ce que vous recevez
Format PDF + JSON, signé cryptographiquement (SHA-256).
-
01
Résumé exécutif
Pour la direction. Une page, le risque global et les 3 actions prioritaires.
-
02
Rapport technique détaillé
Vulnérabilités classées CVSS, preuves d'exploitation, plan de remédiation.
-
03
Plan d'action priorisé
Quick wins, moyen terme, long terme. Avec estimation d'effort et impact.
-
04
Retest inclus
Vérification des corrections sous 30-90 jours. Attestation de conformité.
Reproductible.
Priorisé. Vérifiable.
Un audit cybersécurité n'est utile que si ses conclusions sont actionnables. Notre méthode garantit trois choses :
Reproductibilité
Un second auditeur peut reproduire le scan à l'identique avec les configurations fournies.
- Configuration open-source
- Outils standards (Nuclei, Nmap)
- Rapport signé cryptographiquement
Zéro boîte noire, vérification possible.
Priorisation
Chaque vulnérabilité est classée CVSS v4, mais aussi pondérée par son impact métier pour vous.
- Scoring CVSS v4 standard
- Pondération par contexte métier
- Quick wins en premier
Vous agissez sur ce qui compte vraiment.
Vérifiabilité
Le rapport est signé SHA-256, prouvant qu'il n'a pas été modifié après livraison.
- Signature SHA-256 du PDF
- Hash vérifiable cryptographiquement
- Retest inclus sous 30-90 jours
Valeur probante pour clients, DPO, assureur.
Outils open-source
Des outils standards, configurables, vérifiables par vos soins.
- Nuclei : 5000+ vulnérabilités connues
- Nmap : scan réseau et détection de services
- sqlmap : détection d'injections SQL
- Dalfox : détection XSS
- WPScan : audit WordPress
- HaveIBeenPwned API : corrélation credentials
- Shodan / Censys : surface d'exposition publique
Pas de dépendance à un éditeur.