Tests d’intrusion orientés impact métier.

Les tests destructifs sont exclus par défaut. Les fenêtres d’intervention sont négociées au cadrage, souvent hors heures ouvrées, et un contact d’urgence est désigné des deux côtés pour interrompre la mission à tout moment. L’exploitation reste contrôlée : je démontre la faille, je ne vais pas au-delà de ce qui prouve l’impact.

Des forfaits, pas une facturation à la journée : le montant plancher de chaque type de mission est publié sur la page Tarifs. Le périmètre et la durée sont arrêtés pendant la phase de cadrage, et le devis est ferme avant le démarrage — pas de rallonge en cours de mission.

Un scanner liste des vulnérabilités supposées sans les vérifier : beaucoup de faux positifs, et rien sur la logique métier ni sur l’enchaînement des failles. Un pentest valide chaque faille à la main, les combine comme le ferait un attaquant et mesure l’impact réel, preuve à l’appui. Le scanner est un outil du pentest, pas un substitut.

Comptez 2 à 3 semaines entre le premier échange et le début des tests : le temps de cadrer le périmètre, puis de signer le devis, le NDA et l’autorisation de tests. Une mise en production imminente ? Dites-le dès le diagnostic.

Un rapport en trois parties : une synthèse exécutive lisible par une direction non technique, une synthèse technique où chaque constat porte sa preuve reproductible et son impact opérationnel, et un plan de remédiation priorisé P1 / P2 / P3. Un extrait anonymisé est consultable plus haut sur cette page.

Le contre-audit de vérification est compris dans les forfaits de pentest : une fois vos correctifs déployés, je rejoue les tests concernés et confirme la réduction du risque. Et une vulnérabilité critique ne vous attend pas jusqu’à la fin de la mission — elle vous est signalée le jour de sa découverte, avec les mesures d’urgence applicables.