Vos protections existent : pare-feu, mots de passe, sauvegardes, mises à jour. La question n’est pas de savoir si elles existent, mais si elles tiennent. Une règle jamais testée, un service oublié sur une adresse publique, une sauvegarde jamais restaurée : la protection est supposée. Un attaquant, lui, ne suppose pas — il essaie.
La situation actuelle
- Vous ne connaissez pas votre surface exposée. Un service de test laissé accessible, une interface d’administration atteignable depuis Internet : ce qui n’est pas inventorié n’est pas défendu.
- Vos protections n’ont jamais été éprouvées. Elles ont été posées, puis plus rien. Entre-temps, l’architecture a évolué et des failles ont été publiées.
- Vous ne savez pas par quoi commencer. Sans hiérarchie des risques, on corrige ce qui est facile plutôt que ce qui est grave.
- Vos obligations le demandent. Assureurs, donneurs d’ordre et réglementations exigent de plus en plus une vérification indépendante et documentée.
Ce que nous livrons
Cartographie de la surface exposée
L’inventaire de ce qui est atteignable depuis l’extérieur : services ouverts, noms de domaine, certificats, interfaces d’administration. La liste réserve presque toujours des surprises.
Revue des configurations
Systèmes, serveurs applicatifs, bases de données, équipements réseau. Les réglages par défaut, les comptes de service oubliés et les droits trop larges sont les portes les plus fréquemment empruntées.
Recherche de vulnérabilités connues
Confrontation de vos versions logicielles aux failles publiées, avec vérification manuelle : une version vulnérable n’est pas toujours exploitable dans votre contexte, et le rapport le distingue.
Tests d’intrusion applicatifs
Vos applications web et vos accès exposés sont éprouvés selon les catégories de failles reconnues : authentification, contrôle d’accès, injection, exposition de données.
Constats hiérarchisés
Pour chaque constat, ce qu’il permet réellement, son niveau de risque et l’effort de correction estimé. La hiérarchie est faite sur l’impact, pas sur la facilité de correction.
Contre-test après correction
Une fois les remédiations appliquées, nous vérifions que les constats traités le sont effectivement. Sans ce retour, une correction partielle passe pour une correction.
Pour aller plus loin
- L’erreur humaine reste la première porte d’entrée : la sensibilisation des équipes traite ce que l’audit technique ne couvre pas.
- La remédiation — durcissement, pare-feu, chiffrement, supervision — relève de notre service infrastructure.
- Pour une mise en conformité réglementaire, voir l’accompagnement conformité NIS2, de l’audit d’écart à la remédiation.
- Formez vos équipes avec contrer les attaques et les intrusions et sécurité des applications et des serveurs web.
Une protection ne vaut que ce que vaut sa vérification.
Éprouvons vos défenses →