Offres disponibles (3)
Audit professionnel de sécurité et tests d’intrusion
<p>Des services d’audit de sécurité et de tests d’intrusion de haute qualité avec une livraison rapide. Des années d’expérience dans le secteur.</p>
Test d’intrusion (application web)
<p>Identifiez les vulnérabilités de sécurité avant que les hackers ne fassent de piratage éthique en testant la défense de votre application web. Cette mission de test d’intrusion comprend : une consultation de cadrage définissant le périmètre des tests, les règles d’engagement, les adresses IP et les zones interdites, la reconnaissance et la collecte d’informations sur la cible à l’aide de techniques OSINT et passives, ainsi que la documentation du plan de test décrivant la méthodologie, les outils et le calendrier de test. L’évaluation des vulnérabilités comprend : l’analyse automatisée à l’aide d’outils comme Burp Suite, OWASP ZAP ou Nessus identifiant les vulnérabilités courantes, les tests manuels réalisant des tests pratiques de la logique métier, de l’authentification et des flux d’autorisation, ainsi que la cartographie des surfaces d’attaque documentant tous les points d’entrée (formulaires, API, téléchargements de fichiers, paramètres) pour les tests. Les tests d’authentification et de gestion de session incluent : des tentatives de force brute testant les formulaires de connexion pour limiter le débit et la protection contre le blocage des comptes, le remplissage des identifiants tentant des fuites d’identifiants à cause de violations de données, la vérification de la réutilisation des mots de passe, le détournement de session tentant de voler ou de prédire les jetons de session, le timeout de session vérifiant l’expiration des sessions après inactivité empêchant l’accès non autorisé, et le test des failles de réinitialisation de mot de passe en testant un flux de mot de passe oublié pour des vulnérabilités de prise de contrôle de compte. Les tests d’autorisation et de contrôle d’accès incluent : l’escalade des privilèges tentant d’accéder à des fonctions à privilèges supérieurs depuis un compte à faible privilège, les références directes d’objets non sécurisées accédant aux données d’autres utilisateurs en manipulant des identifiants dans les URL ou requêtes, la navigation forcée pour accéder à des pages restreintes en devinant des URL, l’escalade horizontale des privilèges pour accéder à des ressources de même niveau de privilège mais avec un utilisateur différent, et l’escalade verticale des privilèges obtenant l’accès administrateur depuis un compte utilisateur. Les tests de validation des entrées incluent : l’injection SQL tentant d’injecter des commandes SQL dans les champs d’entrée accédant ou modifiant la base de données, le cross-site scripting (XSS) injectant du JavaScript pour voler des cookies ou effectuer des actions au nom de l’utilisateur, l’injection de commandes exécutant des commandes système via des entrées vulnérables, l’injection XML/XXE exploitant des parsers XML pour lire des fichiers ou mener des attaques SSRF, et les tests d’injection LDAP/NoSQL pour détecter des vulnérabilités d’injection dans des magasins de données non-SQL. Les tests de logique métier incluent : contourner les flux de travail contournant les flux de processus prévus (par exemple, sautant l’étape de paiement), les conditions de course exploitant des problèmes de timing lors des requêtes concurrentes, manipuler les prix modifiant les prix ou les quantités dans le panier, énumérer les comptes déterminant des noms d’utilisateur ou adresses e-mail valides, et abuser de fonctionnalités à des fins non intentionnelles. Les vulnérabilités de téléchargement de fichiers incluent : le téléchargement de fichiers malveillants tentant de télécharger des web shells ou des fichiers exécutables, le contournement de la validation des types de fichiers contournant les restrictions de type de fichier à l’aide d’astuces de spoofing ou d’extension de type de contenu, le transfert de parcours de chemin de fichiers vers des emplacements arbitraires pouvant écraser des fichiers critiques, et les limites de taille des fichiers testant les DoS via le téléchargement de fichiers volumineux. Les tests de sécurité API incluent : les tests REST de l’API examinant l’authentification, l’autorisation et la validation des entrées dans les points d’accès API, l’introspection GraphQL exploitant le schéma exposé pour découvrir des champs ou requêtes cachés, les tests limitant le débit de l’API pour l’absence de throttling permettant le scraping ou le DoS, l’affectation massive modifiant les propriétés des objets non censées être modifiées par l’utilisateur, et les tests de versionnement API dépréciés ou hérités pour détecter les faiblesses. Les vulnérabilités côté client incluent : XSS basé sur DOM exploitant des vulnérabilités JavaScript dans le code côté client, falsification de requêtes intersites (CSRF) forçant l’utilisateur à exécuter des actions indésirables, clickjacking en trompant les utilisateurs pour cliquer sur des éléments cachés, redirection ouverte exploitant les redirections URL pour le phishing, et tests de sécurité HTML5 pour stockage local, postMessage, CORS pour des problèmes de sécurité. Les tests de cryptographie incluent : un chiffrement faible identifiant l’utilisation d’algorithmes obsolètes (MD5, SHA1, DES), des tests de configuration SSL/TLS pour des chiffrements faibles, des problèmes de certificats ou des vulnérabilités de protocole, la vérification de l’exposition sensible aux données pour les mots de passe, jetons ou PII dans les réponses ou journaux, et la vérification de nombres aléatoires non sécurisés testant la génération de nombres aléatoires pour la prévisibilité. Les tests d’infrastructure incluent : une mauvaise configuration des serveurs identifiant les services inutiles, les identifiants par défaut ou la divulgation d’informations, la vérification des en-têtes de sécurité HTTP pour le CSP, HSTTS, l’implémentation des options x-Frame, les vulnérabilités des serveurs web testant Apache, Nginx, IIS pour détecter des exploits connus, et une mauvaise configuration conteneur/cloud si applicable, ainsi que le test de Docker, Kubernetes ou des services cloud pour détecter les failles de sécurité. La couverture du Top 10 OWASP comprend : failles d’injection, SQL, commandes, LDAP, tests d’injection XPath, gestion de session d’authentification défaillante, MFA, faiblesses du stockage des identifiants, chiffrement de l’exposition sensible des données, HTTPS, vérification de la protection des données, attaques XXE d’entités externes XML contre les analyseurs XML (parsers), autorisation de contrôle d’accès défaillante et escalade de privilèges, serveur de configuration erronée de sécurité, application, revue de configuration de base de données, XSS réfléchi, stocké, scripting cross-site basé sur DOM, la désérialisation non sécurisée, l’exploitation de la sérialisation d’objets pour l’ERC, l’utilisation de composants avec des vulnérabilités, des bibliothèques et dépendances obsolètes, ainsi que des capacités de surveillance et de réponse insuffisantes. L’ingénierie sociale (optionnelle) comprend : simulation de phishing, test de la sensibilité des employés aux emails de phishing, prétexte, tentative d’extraction d’informations par usurpation d’identité, sécurité physique sur site, test d’accès au badge, tailgating ou déplacement dans les poubelles. Les rapports comprennent : résumé exécutif, aperçu de haut niveau des constats et des risques commerciaux pour les parties prenantes non techniques, résultats techniques descriptions détaillées des vulnérabilités avec preuves (captures d’écran, requête/réponse), évaluations de sévérité, évaluation CVSS et classification prioritaire (Critique, Élevé, Moyen, Faible), recommandations spécifiques pour la correction de chaque vulnérabilité avec des exemples de code si applicable, et la cartographie de conformité reliant les résultats au PCI DSS, HIPAA, SOC 2 ou autres cadres pertinents. Le support en remédiation comprend : un appel de consultation avec les développeurs discutant des conclusions avec l’équipe de développement répondant aux questions, un retest après corrections vérifiant les vulnérabilités correctement corrigées dans un délai de 30 à 60 jours, et une revue du code si demandé, la révision des correctifs avant le déploiement pour s’assurer que les correctifs n’introduisent pas de nouveaux problèmes. Les livrables comprennent : rapport de test d’intrusion, document complet avec conclusions, preuves et étapes de remédiation, résultats d’exportation de bases de données de vulnérabilités en CSV ou JSON pour importation dans les systèmes de suivi, code de preuve de concept d’exploits édulcorés démontrant des vulnérabilités pour les développeurs, et lettre de certificat de sécurité attestant que les tests ont été terminés et la posture de sécurité si propre. La conformité et l’éthique incluent : l’autorisation des tests réalisant toutes les activités avec une autorisation écrite et un périmètre défini, la divulgation responsable et la déclaration privée des conclusions après la divulgation coordonnée des vulnérabilités, la protection des données ne pas extraire ou conserver les données sensibles des clients découvertes, et la conformité légale conformément à la loi CFAA, le RGPD et d’autres lois applicables. Parfait pour les entreprises SaaS se préparant à des audits ou certifications de sécurité (SOC 2, ISO 27001), les applications fintech gérant des données financières nécessitant la conformité PCI DSS, les applications de santé en traitement des PHI nécessitant une validation HIPAA, et les entreprises réalisant des évaluations annuelles de sécurité ou une diligence raisonnable préalable à l’acquisition.</p>
Voir les détailsAudit et renforcement de la sécurité des sites web
<p>Protégez votre site web contre les hackers, les logiciels malveillants et les violations de données grâce à une évaluation complète de la sécurité et à la mise en œuvre des meilleures pratiques. Ce service de sécurité comprend : un scan initial utilisant des outils automatisés (Sucuri, Wordfence, Qualys) l’identification des vulnérabilités, des logiciels malveillants ou des problèmes de sécurité, des tests d’intrusion manuels tentant des vecteurs d’attaque courants (injection SQL, XSS, CSRF), la détection de faiblesses, les analyses automatisées ratées, et l’évaluation des risques en priorisant les vulnérabilités selon leur gravité et leur impact potentiel sur l’entreprise. La détection et la suppression des malwares incluent : l’analyse de l’intégrité des fichiers des fichiers web avec les versions propres détectant des modifications non autorisées, la correspondance des signatures de malwares identifiant des souches ou des portes dérobées connues dans le code, la revue du code inspectant manuellement les fichiers suspects à la recherche de code obscurci ou d’exploits cachés, ainsi que la suppression des malwares pour nettoyer les fichiers infectés et identifier les points d’entrée empêchant la réinfection. Les correctifs de vulnérabilités incluent : mises à jour CMS mettant à jour WordPress, Joomla, Drupal ou autre CMS vers la dernière version sécurisée, mises à jour de plugins/thèmes corrigeant toutes les extensions vers les versions actuelles pour combler des failles de sécurité connues, mises à jour des dépendances garantissant que des bibliothèques comme jQuery, PHP ou Node sont à jour, et correctifs de code personnalisés corrigeant des problèmes de sécurité dans les fonctionnalités ou intégrations développées sur mesure. Le renforcement du contrôle d’accès comprend : une politique de mot de passe forte imposant des mots de passe complexes et une authentification multifactorielle pour les comptes administrateurs, un audit des autorisations utilisateur examinant les rôles utilisateurs supprimant les privilèges inutiles selon le principe du privilège minimum, le nettoyage des comptes inactifs désactivant les anciens comptes d’anciens employés ou sous-traitants, ainsi que l’obfuscation des URL d’administrateur modifiant les URL de connexion par défaut rendant les attaques automatisées plus difficiles. La sécurité des serveurs et de l’hébergement inclut : la configuration SSL/TLS, l’installation ou la mise à jour des certificats SSL garantissant HTTPS avec un chiffrement fort (TLS 1.2+), la mise en place d’un pare-feu d’applications web (WAF) bloquant le trafic malveillant avant d’atteindre le site web, la définition des permissions de fichiers correcte pour empêcher les modifications non autorisées de fichiers, et l’indexation des répertoires désactivant la navigation des répertoires et masquant la structure des fichiers aux attaquants. Le renforcement spécifique à WordPress (si applicable) comprend : la sécurisation des fichiers de configuration wp-config.php avec des clés de sécurité, la désactivation de l’édition de fichiers et la modification des préfixes de base de données, la désactivation du XML-RPC si nécessaire pour prévenir les attaques par force brute et DDoS via ce point de terminaison, la protection de connexion mettant en place la limitation de vitesse, le CAPTCHA ou la liste blanche IP pour prévenir les attaques par force brute, ainsi que les restrictions dans la zone d’administration limitant l’accès par IP ou nécessitant une authentification supplémentaire. La sécurité des bases de données inclut : la prévention de l’injection SQL validant et nettoyant toutes les requêtes de base de données empêchant l’accès non autorisé aux données, la sécurisation des identifiants de base de données avec des mots de passe uniques forts stockés hors de la racine web, le remplacement du préfixe de la table par défaut rendant les attaques automatisées plus difficiles, et le chiffrement de sauvegarde en chiffrement des sauvegardes de bases de données protégeant les données sensibles des clients. La mise en œuvre de la sauvegarde comprend : sauvegardes automatisées configurant des sauvegardes quotidiennes ou hebdomadaires vers un site hors site (stockage cloud, serveur distant), des tests de sauvegarde restaurant périodiquement les sauvegardes dans l’environnement de mise en place pour vérifier l’intégrité, une politique de rétention mettant en place la rotation des sauvegardes de 30 à 60 jours garantissant les options de récupération, et un plan de reprise après sinistre documentant les procédures de restauration pour une récupération rapide après une brèche. La surveillance de la sécurité inclut : la surveillance de la mise en marche, la mise en place d’alertes en cas d’interruption de site web, la détection d’attaques ou de défaillances techniques, la surveillance des modifications des fichiers principaux et l’alerte aux modifications non autorisées, l’analyse des malwares, la planification des analyses régulières, la détection précoce des infections, et la surveillance des listes noires pour vérifier si votre site apparaît sur Google, Norton ou d’autres listes noires affectant la réputation. Les en-têtes et politiques incluent : en-têtes de sécurité implémentant CSP, X-Frame-Options, X-XSS-Protection empêchant le clickjacking et les attaques XSS, la configuration HSTS forçant les connexions HTTPS pour prévenir les attaques man-in-the-middle, la politique de référent le contrôle des informations envoyées à des tiers protégeant la confidentialité des utilisateurs, et la politique de fonctionnalité désactivant les fonctionnalités inutiles du navigateur réduisant la surface d’attaque. L’examen d’intégration par des tiers comprend : l’audit de sécurité des API des clés API, les implémentations OAuth garantissant une communication sécurisée avec les services externes, la validation de la conformité PCI DSS pour le traitement des paiements protégeant les données des cartes clients, le suivi des scripts en revue analytique, publicités ou scripts de réseaux sociaux pour détecter les risques de sécurité ou la fuite de données, et la configuration CDN sécurisant le réseau de diffusion de contenu pour prévenir l’empoisonnement du cache ou le détournement. La sécurité du code inclut : la validation des entrées implémentant la validation côté serveur pour toutes les entrées utilisateur empêchant l’injection de code, l’encodage des sorties échappant en HTML, JavaScript, les contextes SQL empêchant les attaques XSS, la protection CSRF en ajoutant des jetons dans les formulaires pour empêcher la falsification de requêtes cross-site, et la sécurité de la session sécurisant les cookies de session avec httpOnly, secure et SameSite. La conformité et les normes incluent : la préparation au RGPD si applicable, l’assurance du consentement aux cookies, de la politique de confidentialité et des mesures de protection des données, le PCI DSS lors du traitement des paiements, la validation de la conformité aux normes de sécurité de l’industrie des cartes, la HIPAA en cas de gestion de données de santé, la mise en œuvre du chiffrement et des contrôles d’accès protégeant la PHI, ainsi que les meilleures pratiques du secteur suivant les 10 principales directives OWASP traitant des risques de sécurité web les plus critiques. La documentation de sécurité comprend : un rapport de vulnérabilité documentant tous les problèmes détectés avec des évaluations de gravité et des étapes de remédiation, une liste de contrôle de renforcement listant toutes les mesures de sécurité mises en œuvre avec statut avant/après, un plan d’intervention en cas de procédure pour répondre à une faille ou une compromission de sécurité, et une politique de sécurité rédigeant des directives de sécurité pour votre équipe ou vos développeurs assurant la sécurité. La remise en état comprend : vérification de re-numérisation, exécution d’un scan de sécurité après corrections confirmant la résolution des vulnérabilités, délivrance d’un certificat de sécurité ou sceau de sécurité pour le site web si le bâtiment est propre, une surveillance de 30 jours incluant une surveillance pendant 30 jours après le renforcement pour détecter tout nouveau problème, et une révision trimestrielle d’audit de sécurité optionnel en cours tous les 3 à 6 mois pour maintenir la protection. La formation et l’éducation comprennent : une formation à la sécurité pour former votre équipe à l’hygiène des mots de passe, la sensibilisation au phishing et les pratiques de sécurité, les meilleures pratiques administratives documentant les procédures pour les mises à jour, les sauvegardes et la gestion des accès, ainsi que la formation des procédures d’incident à la reconnaissance et à la réponse aux incidents de sécurité. Parfait pour les sites de commerce électronique protégeant les paiements clients et les informations personnelles, les sites d’adhésion protégeant les comptes utilisateurs et le contenu privé, les sites professionnels qui maintiennent la confiance et évitent les listes noires ou les piratages, et les agences gérant les sites clients garantissant la sécurité et la conformité de tous les établissements.</p>
Voir les détails