Reconnaissance externe, énumération de services, exploitation contrôlée des vecteurs exposés. Rapport CVSS avec preuve d'exploitation incluse.
Chaque service accessible depuis Internet — application web, API, portail VPN, serveur mail, interface d'administration — est un vecteur d'entrée potentiel. Un pentest externe réalise une reconnaissance complète de ce périmètre, identifie les services vulnérables et tente de les exploiter dans des conditions contrôlées.
Nous reproduisons la méthodologie d'un attaquant réel : OSINT, énumération active, fuzzing, exploitation manuelle. Chaque vulnérabilité trouvée est exploitée pour mesurer son impact réel, pas seulement théorique.
Le test couvre l'ensemble des actifs exposés sur Internet, mappés durant la phase de reconnaissance.
Chaque vulnérabilité identifiée est exploitée manuellement en conditions maîtrisées. Le rapport livre une preuve de concept (PoC), le score CVSS 3.1 et le plan de correction priorisé.
Entre 5 et 10 jours ouvrés selon la taille du périmètre. Un périmètre ciblé (1 application, quelques sous-domaines) peut être couvert en 5 jours. Un périmètre large (infrastructure complète, plusieurs applications) nécessite 8 à 10 jours.
Oui, obligatoirement. Un bon de commande ou une lettre d'autorisation signée précisant le périmètre est requis avant toute action. Nous fournissons également un NDA pour garantir la confidentialité des résultats.
Un rapport complet avec : résumé exécutif, détail de chaque vulnérabilité (CVSS 3.1, preuve d'exploitation, impact business), plan de remédiation priorisé, et une session de restitution orale. Un retest post-correction est inclus sur les vulnérabilités critiques.
En Black Box, nous n'avons aucune information préalable — simulation d'un attaquant inconnu. En Grey Box, vous nous fournissez des éléments (comptes de test, documentation partielle) pour optimiser la couverture dans un temps défini. Nous recommandons le Grey Box pour un premier test.
Définissez le périmètre, la profondeur de test et le mode (Black Box / Grey Box). Devis fixe, NDA signé avant toute action.