NightSec · Tests d'intrusion Paris, FR · --:--:-- Disponible · déc. 2026 / janv. 2027
Réf. NS/2026 Tests d'intrusion — Web, Mobile & AD Classification : public

On entre. On prouve. Vous corrigez.

Nous attaquons vos applications web et mobiles, leur code source et votre Active Directory avec les méthodes d'un attaquant réel. Vous ne recevez que des failles exploitées, rejouables et corrigeables.

Planifier un pentest ↗ Voir les tarifs
Prestation
Web · Mobile · Code · AD
Tarif
À partir de 5 500 € HT
Approche
Manuelle, boîte grise
Référentiels
OWASP · PTES · ATT&CK
Inclus
Rapport + contre-audit
SESSION 2611 — ACME-PROD REC 00:00:00
Surface000
Vecteurs00
Exploités00

■ Track record

Nos chercheurs ont fait accepter des failles par

Des vulnérabilités trouvées sur leurs sites publics en production, validées par leurs équipes sécurité.

CritiqueÉlevéeMoyenne
  • AmazonFaille acceptée · site public
  • Coca-ColaFaille acceptée · site public
  • NestléFaille acceptée · site public
  • JBLFaille acceptée · site public
  • UnibetFaille acceptée · site public
  • La CentraleFaille acceptée · site public
  • +100 autres entreprises…Failles acceptées · sites publics

Vulnérabilités de sévérité moyenne à critique, découvertes sur des sites publics et signalées par des membres de l'équipe via des programmes de bug bounty ou de divulgation responsable, puis acceptées par les entreprises concernées. Ces entreprises ne sont pas clientes de NightSec et ne cautionnent pas nos services.

01 Constat

Un scanner vous rend 340 alertes et un PDF de 200 pages. Nous vous rendons sept failles. Chacune a été exploitée, rejouée trois fois et livrée avec son correctif.

Scanner automatisé
RésultatDes centaines d'alertes, beaucoup de faux positifsUne liste courte de failles réelles
SévéritéThéorique, hors contexteImpact démontré sur vos données
Logique métierInvisibleTestée à la main, rôle par rôle
ChaînageAucunDu premier accès au contrôle total
Après le rapportRienContre-audit de chaque correctif
0des failles livrées sont exploitées et documentées
0faux positif : ce qui n'est pas prouvé n'est pas livré
0maximum pour alerter vos équipes d'une faille critique
0contre-audit de vos correctifs, inclus dans chaque offre
02 Pentest Web

Ce qu'un scanner ne verra jamais.

Applications web, API REST et GraphQL, SPA, back-offices, tunnels de paiement. On teste les droits, la logique métier et les enchaînements, avec un compte pour chaque rôle.

  1. A
    Authentification & sessions

    SSO, OAuth/OIDC, JWT, MFA, réinitialisation de mot de passe.

  2. B
    Contrôle d'accès

    IDOR, escalade horizontale et verticale, cloisonnement multi-tenant.

  3. C
    Injections & serveur

    SQLi, SSTI, SSRF, désérialisation, upload, exécution de code.

  4. D
    Logique métier & API

    Conditions de course, contournement de paiement, abus de workflow.

Fiche NS-0142 app.acme.fr p. 14 / 38
Critique CVSS 9.1 CWE-639 OWASP A01

Lecture et modification des factures de tous les clients

Un utilisateur authentifié accède aux factures de n'importe quel autre client en changeant l'identifiant dans l'URL. 12 400 documents exposés, IBAN compris.

GET /api/v2/invoices/48213 HTTP/2
Host: app.acme.fr
Authorization: Bearer eyJhbGci… # compte « client B »

HTTP/2 200 OK
{ "id": 48213,
  "customer": "Client A — SAS ████████",
  "iban": "FR76 ████ ████ ████ 4021" }

✓ Rejoué 3× · script de reproduction joint en annexe

// invoices.controller.ts
- const invoice = await Invoice.findById(req.params.id);
+ const invoice = await Invoice.findOne({
+   _id: req.params.id,
+   tenantId: req.user.tenantId,
+ });
+ if (!invoice) return res.sendStatus(404);

✓ Correctif écrit pour votre stack, pas une recommandation générique

  1. Faille identifiée, exploitée
  2. Appel au RSSI (sévérité critique)
  3. Correctif déployé par l'équipe
  4. Contre-audit : exploitation impossible
03 Mobile & code source

Votre appli, démontée pièce par pièce.

Applications iOS et Android, et le code source qui va avec. On décompile le binaire, on lit le code et on intercepte chaque échange avec votre API. Tout ce qui est embarqué dans l'appli finit un jour entre les mains d'un attaquant.

  1. A
    Analyse du binaire

    Décompilation APK / IPA, secrets embarqués, contournement root, jailbreak et SSL pinning.

  2. B
    Stockage & données

    Keychain, Keystore, bases locales, journaux, cache, captures d'écran.

  3. C
    Communications & API

    Interception TLS, jetons, IDOR et logique métier côté backend.

  4. D
    Revue de code source

    Lecture manuelle des points sensibles, analyse statique, dépendances vulnérables. Web ou mobile.

Fiche NS-0151 com.acme.app p. 9 / 31
Critique CVSS 9.3 CWE-798 OWASP M1

Clé d'administration cachée dans l'application

La clé d'API admin est compilée dans l'appli Android. Extraite en quelques minutes, elle donne accès aux données de tous les utilisateurs, sans compte.

$ jadx -d out acme-4.2.1.apk
$ grep -rn "X-Api-Key" out/
ApiClient.java:18  ADMIN_KEY = "sk_live_9f2c████████"

GET /admin/v1/users HTTP/2
X-Api-Key: sk_live_9f2c… # aucun compte

HTTP/2 200 OK
{ "total": 84120, "users": [ … ] }

✓ Rejoué 3× · script de reproduction joint en annexe

// ApiClient.kt
- private const val ADMIN_KEY = "sk_live_9f2c…"
- .header("X-Api-Key", ADMIN_KEY)
+ // Jeton court, émis par le backend après connexion
+ .header("Authorization", "Bearer ${session.token}")
// backend : routes /admin réservées au rôle admin

✓ Correctif côté appli et côté serveur, clé révoquée

  1. Clé extraite du binaire, accès prouvé
  2. Appel au CTO, révocation demandée
  3. Version 4.2.2 publiée sur les stores
  4. Contre-audit : ancienne clé rejetée
05 Méthode

Un planning clair.
Aucune surprise.

J-7J1J2J3J5J8J10J+30
J-7Cadrage

Périmètre, comptes de test, fenêtres d'intervention, convention signée.

J1 – J2Reconnaissance

Cartographie de la surface : endpoints, technologies, rôles, flux sensibles.

J2 – J8Exploitation

Tests manuels, chaînage. Alerte immédiate si une faille critique apparaît.

J10Restitution

Rapport exécutif et technique, réunion avec vos équipes dev et sécurité.

J+30Contre-audit

Chaque exploit est rejoué après vos correctifs. Statut final dans le rapport.

Un rapport lu par la direction et utilisé par les développeurs.

  1. I.
    Synthèse exécutive

    Niveau de risque, scénarios d'impact, feuille de route priorisée. Deux pages, sans jargon.

  2. II.
    Fiches techniques

    Preuve, étapes de reproduction, score CVSS, correctif adapté à votre stack.

  3. III.
    Attestation

    À transmettre à vos clients, auditeurs ou assureurs. ISO 27001, SOC 2, PCI DSS, NIS2, DORA.

06 Tarifs

Des prix affichés.

Chaque mission est cadrée avant signature. Le prix couvre les tests, le rapport, la restitution et le contre-audit.

AExterne

Pentest Web

Une application web, son API et son back-office.

5 500 €HT

Forfait · application de taille standard

  • Boîte grise, un compte par rôle
  • OWASP Top 10 et logique métier
  • API REST et GraphQL
  • Rapport exécutif et technique
  • Réunion de restitution
  • Contre-audit inclus
Choisir ↗
A + BRecommandé

Web + Active Directory

De l'application exposée sur internet jusqu'au domaine interne.

Sur devis

Selon la taille de l'application et du parc

  • Tout le Pentest Web
  • Tout le Pentest Active Directory
  • Scénario d'attaque de bout en bout
  • Feuille de route de remédiation unique
  • Attestation de pentest
  • Contre-audit inclus
Demander un devis ↗
BInterne

Pentest Active Directory

Réseau interne et domaine Windows.

Sur devis

Selon le nombre de domaines et de sites

  • Sur site ou à distance (VPN, boîtier)
  • Analyse BloodHound complète
  • Kerberos, NTLM, ADCS, ACL
  • Chemins vers Domain Admin
  • Plan de durcissement priorisé
  • Contre-audit inclus
Demander un devis ↗
CMobile & code

Pentest Mobile & revue de code

Une application iOS et/ou Android, son API, et le code source si vous le confiez.

Sur devis

Selon les plateformes et la taille du code

  • Analyse du binaire (APK / IPA)
  • Stockage local, secrets, chiffrement
  • Interception et tests de l'API
  • Revue de code des parties sensibles
  • Référentiel OWASP MASVS / MASTG
  • Contre-audit inclus
Demander un devis ↗
Cadres couverts OWASP WSTGOWASP ASVSOWASP MASVSPTESMITRE ATT&CKCVSS 4.0ISO 27001PCI DSSNIS2DORA
07 Questions
Q.1Le pentest peut-il casser ma production ?

Les tests sont menés de façon contrôlée, dans des fenêtres validées avec vous. Les actions destructrices (suppression de données, déni de service) sont exclues sauf accord écrit. Si vous avez une préproduction représentative, nous la privilégions.

Q.2Combien de temps dure une mission ?

Un pentest web standard représente en général 5 à 8 jours de tests, plus la rédaction du rapport. Un pentest mobile prend en général 5 à 8 jours par plateforme, plus le temps de revue de code si vous nous le confiez. Un pentest Active Directory dure de 5 à 10 jours selon la taille du parc. Le planning exact est fixé au cadrage.

Q.3Que comprend le prix de 5 500 € HT ?

Le cadrage, les tests manuels, le rapport exécutif et technique, la réunion de restitution et un contre-audit de vos correctifs. Pour une application très large (nombreux rôles ou endpoints), un devis ajusté vous est proposé avant tout engagement.

Q.4Boîte noire, grise ou blanche ?

Par défaut, boîte grise : vous nous fournissez un compte de test par rôle. C'est le meilleur compromis entre réalisme et couverture. La boîte noire et l'accès au code source restent possibles selon vos objectifs.

Q.5Faut-il vous donner le code source ?

Ce n'est pas obligatoire : nous testons aussi l'application telle qu'elle est publiée, en décompilant le binaire. Mais avec le code (accès en lecture à votre dépôt), nous trouvons plus de failles en moins de temps et le correctif proposé pointe la ligne exacte à modifier. Le code reste couvert par l'accord de confidentialité et est supprimé en fin de mission.

Q.6Comment sont protégées les données de la mission ?

Accord de confidentialité signé avant le démarrage, données chiffrées au repos et en transit, rapport transmis par canal sécurisé, puis suppression des données de test selon les modalités convenues.

Q.7Le rapport sert-il pour une certification ?

Oui. Le rapport et l'attestation répondent aux exigences de tests d'intrusion d'ISO 27001, SOC 2, PCI DSS, NIS2 et DORA, ainsi qu'aux questionnaires sécurité de vos clients.

→ Contact

Et si on essayait
d'entrer chez vous ?

  • Réponse sous 24 h ouvrées
  • 30 minutes avec un pentesteur, pas un commercial
  • NDA signé avant tout échange technique
  • Proposition chiffrée sous 48 h
Périmètre