Tarifs Pentest

À quelle fréquence conduire un test d'intrusion ?

La réponse dépend de votre secteur d'activité et de votre attractivité pour les attaquants. Pour les activités sensibles (données financières, santé, données personnelles), nous recommandons les pentests réguliers (2 à 4 fois par an). Pour les activités moins sensibles, un pentest à chaque nouvelle version ou ajout fonctionnel majeur suffit. Notre recommandation BCIT : un cycle annuel minimum avec re-tests trimestriels ou semestriels pour la conformité (ISO 27001, SOC 2, RGPD).

Je n'ai pas de données sensibles, pourquoi être une cible ?

Tous les systèmes connectés sont des cibles potentielles. Les motivations des attaquants sont variées : s'entraîner, prendre le contrôle de votre serveur (héberger un site malveillant, créer un botnet, faire du minage de crypto), revendre l'accès compromis, ou simplement tester leurs compétences. Les sites WordPress, Drupal, etc., subissent des attaques automatisées massives. L'absence de données sensibles ne signifie pas l'absence de risque.

Scan de vulnérabilité vs. Pentest : quelle différence ?

Scans automatisés = détection de vulnérabilités répertoriées, couverture basique, rapides et peu coûteux. Pentest (tests manuels) = approche sur-mesure à votre architecture, détection de failles de logique invisibles aux outils, exploitation et mesure d'impact réel, couverture exhaustive. Les pentests offrent un niveau de sécurité supérieur, recommandés pour les données sensibles.

Pentest vs. Bug Bounty : lequel choisir ?

Pentest = approche structurée, méthodologie établie, couverture complète du périmètre, dates planifiées, interlocuteur dédié, rapports détaillés. Idéal pour une première approche, la conformité et l'audit continu. Bug Bounty = tests continus via crowdsourcing, plateforme bien sécurisée, regards variés, modèle continu. Notre recommandation BCIT : commencer par un pentest initial, puis envisager un bug bounty complémentaire après stabilisation.

Quelles technologies testez-vous ?

Notre équipe BCIT maîtrise les langages et frameworks courants : PHP, Python, Java, Node.js, .NET, Go, Rust. De nombreuses vulnérabilités transcendent les technologies (injection SQL, XSS, authentification faible, etc.). L'équipe dispose d'une spécialisation en cloud (AWS, Azure, OVH), conteneurs et DevOps, ainsi qu'en IoT. Pour les technologies spécifiques non listées, contactez-nous pour évaluation de faisabilité.

Faut-il faire une démonstration de la solution avant le pentest ?

Avec démonstration = meilleure compréhension fonctionnelle, tests approfondis de la logique métier, rentabilité améliorée de l'audit. Sans démonstration = conditions réalistes d'attaque externe, nos testeurs découvrent les priorités réelles. Notre conseil BCIT : pour les PME/PMI, une démonstration rapide est conseillée. Pour tester le réalisme d'une attaque externe, pas de démonstration. Nous en discuterons lors de la planification.

Production ou Pré-production pour le pentest ?

Pré-production = semblable à la production, ne touche pas les utilisateurs, tests moins risqués, état stable testable. Production = conditions réelles d'utilisation, dernières mises à jour déployées, évalue l'impact réel. Notre conseil BCIT : testez idéalement la pré-production pour le développement, puis la production pour valider avant et après déploiement. Nous en discuterons avec votre équipe risque.

Testez-vous les attaques par déni de service (DoS/DDoS) ?

Oui, les tests DoS/DDoS sont possibles. Ils révèlent les vulnérabilités au niveau configuration applicative indépendantes de l'hébergeur. Les impacts réels sont mesurables. BCIT recommande de tester si vos données ou services sont critiques. Les tests sont coordonnés avec votre infrastructure et votre hébergeur. Un coût additionnel s'applique selon l'approche (tests contrôlés, mesure de résilience).

Comment sont présentées les failles trouvées ?

Notre rapport complet BCIT inclut : le périmètre testé, la méthodologie, les failles trouvées détaillées, l'exploitation étape par étape, les preuves (captures d'écran, données compromises), les scores CVSS de sévérité et les recommandations de remédiation par faille. Nous fournissons deux versions : exécutive (direction) et technique détaillée (développeurs). Le rapport est directement exploitable.

Qui corrige les failles trouvées ?

C'est à vos équipes techniques d'appliquer les corrections. BCIT ne corrige pas, afin que vous vous appropriiez mieux les remédiation. Le rapport contient des suggestions techniques prêtes à l'implémentation. BCIT propose des re-tests après remédiation pour valider la fermeture des vulnérabilités et l'absence de régression sur d'autres éléments (1 à 2 re-tests inclus, tests additionnels à coût réduit).

Que faites-vous des informations confidentielles trouvées ?

BCIT ne collecte ni ne conserve les données confidentielles découvertes. Les éléments dans le rapport sont anonymisés autant que possible. Un NDA strict est signé (confidentialité bilatérale). Les rapports sont conservés pour une durée limitée. Les données ne sont exploitées que pour démontrer la vulnérabilité.

Comment faire confiance à des pentesteurs éthiques ?

BCIT opère dans un cadre légal strict : intervention sur demande écrite, contrat signé, autorisation explicite des tests, NDA, heures convenues, adresse IP dédiée identifiable. L'équipe est certifiée (auditeurs ISO 27001, pentesteurs certifiés). BCIT possède un track record de 8+ ans avec nos clients. Des recommandations d'auditeurs et d'assureurs sont disponibles.

Combien coûte un pentest ?

Le tarif dépend du périmètre et de la profondeur des tests souhaitée. Consultez la section « Tarifs » pour les packs standards (800€ à 10 000€ HT). Les audits sur-mesure coûtent entre 2 000€ et 30 000€ HT. Des réductions s'appliquent pour les pentests réguliers. Contactez BCIT pour un devis personnalisé sans engagement.

Vous avez d'autres questions ? N'hésitez pas à nous contacter.