Mettre votre exposition à l'épreuve d'un attaquant réel.

Pas dans cette version de notre offre. Notre pentest externe couvre votre périmètre exposé (sites institutionnels, portails d'authentification, services exposés, DNS, messagerie) mais ne descend pas en profondeur applicative. Pour un test approfondi d'une application web critique, notre audit de code est plus pertinent et donne des résultats plus actionnables. Nous vous le dirons franchement lors du premier échange.

Un scanner produit un inventaire de vulnérabilités potentielles, sans contexte ni preuve d'exploitation. Nous menons un test manuel : nous reproduisons ce qu'un attaquant ferait, exploitons réellement les failles trouvées (en environnement contrôlé, sur autorisation), démontrons l'impact, et hiérarchisons par criticité réelle, pas par score CVSS théorique.

Minimes et encadrés. Le périmètre est strictement défini dans une convention d'intervention signée, les actions destructrices sont interdites par défaut, les tests intrusifs sont fenêtrés en accord avec votre équipe d'astreinte et des contacts d'urgence sont définis.

Entre 3 et 8 jours de production selon le périmètre, plus la phase de rédaction et de restitution. Une PME avec quelques actifs exposés tourne autour de 5 jours ; une ETI multi-domaines peut aller jusqu'à 8 jours.

Un rapport unique avec une synthèse exécutive pour la direction (impact métier, criticité, priorités) et une partie technique détaillée avec méthodologie, preuves d'exploitation, scoring CVSS et recommandations de remédiation priorisées.

Après cadrage des scénarios et validation par votre direction (et le cas échéant des représentants du personnel), nous concevons les leurres et lançons la campagne. Nous mesurons l'ouverture, le clic, la soumission de credentials et le taux de signalement. Le rapport est non nominatif par défaut et débouche sur des recommandations concrètes de sensibilisation et de mesures techniques complémentaires.

Notre approche s'appuie sur les méthodologies reconnues du secteur et sur l'expérience offensive de notre expert technique. Nous ne sommes pas qualifiés PASSI à ce jour. Si c'est une exigence réglementaire pour vous, nous vous orienterons vers un cabinet qualifié et resterons disponibles pour vous accompagner sur le reste.