Méthodologie
Testé automatiquement. Validé par des humains.
Nos audits sont automatisés et s’appuient sur l’IA. Un agent cartographie votre application et répartit le travail entre des agents spécialisés. Ils testent en parallèle et se contrôlent mutuellement. À la fin, un contrôle qualité ne laisse passer que les constats prouvés.
- OWASP Top 10:2025
- OWASP API Top 10
- OWASP ASVS
- CVSS 3.1
- CWE
- CVE
- OSV
- NIS2 & CRA
De la commande au rapport
Beaucoup d’agents. Un seul contrôle qualité.
Vous fournissez l’accord et les accès. Tout le reste est automatisé et parallélisé.
- Commandeaccord et accèsVotre intervention
- Agent de scancartographie et répartit
- Agents en parallèlese relisent mutuellement
- Contrôle qualitécontre-examen, CVSS
- Rapportavec plan d’action
- Vos correctifscontre-vérification sur demandeVotre intervention
Ce qui se passe à chaque étape
- 01
Cartographier la surface d’attaque
L’agent de scan lit votre application : points d’accès, rôles, flux de données, dépendances, build et configuration. Il en tire la carte de toutes les étapes suivantes.
- 02
Répartir le travail
Le même agent orchestre. Chaque domaine reçoit un agent spécialisé, par exemple pour les droits d’accès, l’injection, les secrets ou les dépendances.
- 03
Tester en parallèle
Des outils comme semgrep, gitleaks, osv-scanner, trivy, ZAP et nuclei produisent des signaux. Les agents lisent le contexte et en font des constats candidats.
- 04
Se relire mutuellement
Un agent indépendant tente de réfuter chaque candidat. Il ne voit que le constat et son emplacement, pas le raisonnement de celui qui l’a trouvé.
- 05
Contrôle qualité
Seuls les constats prouvés passent : sans doublons, notés selon CVSS 3.1, rattachés à CWE et à l’OWASP.
- 06
Rapport
Synthèse pour la direction, chaque constat avec emplacement et recommandation, plan d’action par priorité. Remis chiffré.
Le contrôle qualité
Un constat n’entre dans le rapport que s’il passe chacun de ces contrôles. Des milliers de signaux deviennent ainsi quelques constats solides.
- Prouvé dans le code ou dans l’application en fonctionnement
- Non réfuté par un second agent
- Ni doublon, ni code de test, ni chemin mort
- Noté selon CVSS 3.1, rattaché à CWE et à l’OWASP
- Avec une recommandation concrète de correction
- Pour l’audit complet, validé en plus par un expert
Ce que l’IA peut faire, et ce qu’elle ne fait pas
- Le fournisseur d’IA ne s’entraîne pas sur votre code
- Lecture seule : nous n’exécutons pas votre code et ne poussons rien
- Tests actifs uniquement avec votre accord par e-mail
- Aucun constat sans preuve
- C’est nous qui validons le rapport, pas le modèle
Selon les référentiels reconnus
Nous notons et nommons les constats comme votre équipe, vos clients et vos auditeurs les connaissent. Le rapport ne remplace pas une certification.
- OWASP Top 10:2025Les dix risques les plus critiques pour les applications web.
- OWASP API Top 10Les risques les plus fréquents des API et backends.
- OWASP ASVSExigences de vérification pour connexion, sessions et accès.
- CVSS 3.1Gravité de chaque constat, de 0 à 10.
- CWELa classe de faiblesse derrière chaque constat.
- CVELes failles connues de vos dépendances.
- OSVLes vulnérabilités des paquets open source.
- NIS2 & CRALe rapport comme preuve pour l’autorité et vos clients.
Ce que voit chaque type d’accès
Avec un accès à l’application, nous testons ce qu’un attaquant peut faire. Avec un accès au code, nous voyons pourquoi. Les deux réunis donnent une vue complète.
| Check | App seule | Code seul | Les deux | |
|---|---|---|---|---|
| TLS, en-têtes, cookies, CORS | complet | complet | partiel | complet |
| Points d’accès exposés, pages d’admin et de debug | partiel | complet | partiel | complet |
| Connexion, sessions, limitation de débit | non | bon | bon | prouvé |
| Accès : l’utilisateur A voit-il les données de B ? | non | prouvé | partiel | prouvé |
| Injection (SQL, XSS, SSRF) | non | partiel | bon | prouvé |
| Secrets et clés | partiel | partiel | complet | complet |
| Dépendances et CVE connues | partiel | partiel | complet | complet |
| Supply chain, Docker, CI/CD | non | non | complet | complet |
| Qualité du code et bonnes pratiques | non | non | complet | complet |
Toutes les offres comparées
| Test de sécuritégratuit | Audit d’application490 € | Audit de code890 € | Audit complet1 690 € | EnterpriseSur demande | |
|---|---|---|---|---|---|
| Ce qui est vérifié | |||||
| TLS, en-têtes de sécurité, cookies | inclus | inclus | en partie | inclus | inclus |
| Connexion, sessions, limites de débit | non inclus | inclus | inclus | inclus | inclus |
| Droits d’accès : l’utilisateur A voit-il les données de B ? | non inclus | inclus | en partie | inclus | inclus |
| Injections (SQL, XSS, SSRF) | non inclus | en partie | inclus | inclus | inclus |
| Secrets et clés | en partie | en partie | inclus | inclus | inclus |
| Supply chain, Docker, CI/CD | non inclus | non inclus | inclus | inclus | inclus |
| Ce que vous recevez | |||||
| Note et nombre de constats | inclus | inclus | inclus | inclus | inclus |
| Rapport avec plan d’action priorisé | non inclus | inclus | inclus | inclus | inclus |
| Notation CVSS 3.1 | non inclus | inclus | inclus | inclus | inclus |
| Restitution et contre-vérification | non inclus | non inclus | non inclus | inclus | inclus |
| Cadre | |||||
| Accès | URL et adresse e-mail | Adresse + 2 comptes de test | Accès en lecture au code | Adresse, accès de test et code | sur mesure |
| Délai | en général sous 2 heures (jours ouvrés) | 1 jour ouvré | 2 jours ouvrés | 4 jours ouvrés | sur mesure |
Ce que nous ne faisons pas : ni test d’intrusion manuel, ni test de charge ou de performance. Nous analysons de façon automatisée et assistée par IA, et chaque constat est étayé par son emplacement. Le rapport indique ce qui était hors périmètre.