Pentest web pour éditeurs SaaS — par un chercheur de CVE.
J'audite vos applications web avant que vos clients enterprise ne l'exigent. 10 CVE publiées dont 5 HIGH. Démarrage sous 10 jours, pas 8 semaines comme en cabinet. Tarifs transparents à partir de 2 400 €.
Les scanners trouvent 30%. Les vraies failles sont ailleurs.
Les outils automatiques détectent les vulnérabilités les plus connues. Mais 70% des failles exploitables en production sont des problèmes de logique métier, des chaînes d'exploitation, des bypass d'autorisation — invisibles aux scanners.
C'est exactement ce que je cherche : ce que vos pipelines CI ne vous diront pas, ce que votre équipe interne ne voit plus parce qu'elle est trop proche du code.
Ce que je teste
OWASP Top 10 systématique, plus toutes les classes de vulnérabilités courantes en SaaS B2B.
4 phases, zéro flou
Cadrage & règles d'engagement
Périmètre précis, comptes de test, contraintes de prod, fenêtres de test. NDA mutuel signé.
Tests offensifs
OWASP Top 10, business logic, auth & session, IDOR, JWT, SSRF, désérialisation, race conditions.
Rapport actionnable
Rapport exécutif (décideurs) + rapport technique détaillé (devs) + matrice CVSS priorisée.
Re-tests inclus
Validation des correctifs sous 30 jours. Rapport final de remédiation pour vos audits.
Du premier contact au rapport en 4 semaines
Vous savez ce qui arrive, quand, et ce que vous recevez. Pas de zone grise.
Fourchettes transparentes
Tout est inclus : NDA, rapport exécutif + technique, matrice CVSS, atelier, re-tests. Pas de coût caché.
Focus
Application web simple, 1 rôle utilisateur.
- OWASP Top 10 complet
- Authentification & sessions
- Rapport exécutif + technique
- Re-tests inclus 30 jours
Standard
App + auth + business logic, multi-rôles.
- OWASP Top 10 + business logic
- Tests d'autorisation multi-rôles
- JWT, sessions, fédération d'identité
- Rapport + atelier de restitution
- Re-tests inclus 30 jours
Étendu
App + API + chaînes d'exploitation.
- Périmètre app web + API REST/GraphQL
- Recherche de chaînes d'exploitation
- Tests d'autorisation profonds
- Rapport + atelier + accompagnement
- Re-tests inclus 60 jours
Estimez votre tarif en 6 questions
Réponses anonymes, aucun email demandé. Vous obtenez une fourchette indicative calculée à partir d'un TJM de 600 €. Le devis détaillé sera affiné après un échange de 20 min.
Type d'application
Le contexte global oriente toute la suite.
Voici ce que je trouve, en pratique
Mes 3 CVE les plus sévères publiées récemment sur flightphp/core (framework PHP).
Ce qui est blindé côté contrat
NDA mutuel
RC professionnelle
Tests jamais sur prod sans accord écrit
Scope creep limité à ±20%
Attestation de pentest
Re-tests inclus
FAQ
À qui s'adresse votre pentest ?
Principalement aux éditeurs SaaS B2B et startups série A/B qui doivent fournir une attestation de pentest annuel à leurs clients enterprise, ou se conformer à NIS2 / DORA. Toutes les missions sont menées en direct, par moi.
En combien de temps démarrez-vous ?
Le kickoff a lieu sous 10 jours après signature du devis (vs 6-8 semaines en cabinet). C'est l'un des principaux avantages de travailler avec un freelance senior plutôt qu'un cabinet.
Boîte noire, grise, ou blanche ?
La boîte grise (avec comptes de test) est recommandée par défaut : elle reproduit le scénario d'attaque le plus réaliste (compte utilisateur compromis ou créé par l'attaquant) et trouve plus de vulnérabilités. La boîte noire convient pour la pré-prod ou un audit externe pur. La boîte blanche (accès code) est idéale pour des audits profonds.
Et la production ? Risque-t-elle d'être impactée ?
Par défaut nous testons sur staging / pré-prod. Si la prod est nécessaire, nous cadrons une fenêtre de test, excluons les actions destructives (DELETE en masse, etc.) et validons chaque action sensible avec votre équipe.
Avez-vous une assurance RC pro ?
Oui, RC professionnelle souscrite couvrant les missions de pentest et de recherche en sécurité informatique.
Comment se passent les re-tests ?
Inclus 30 jours après remise du rapport (60 jours pour le forfait Étendu). Vous corrigez, vous me notifiez, je revalide chaque finding et produis un rapport final attestant des correctifs. Aucun coût additionnel.
Que se passe-t-il si le périmètre change en cours de mission ?
Le forfait absorbe ±20% de variation de périmètre. Au-delà, on signe un avenant clair. Pas de surprise sur la facture.
Fournissez-vous une attestation de pentest ?
Oui, attestation officielle à fournir à vos clients enterprise, partenaires bancaires (PCI-DSS), ou autorité de régulation.
Votre prochain audit, démarré sous 10 jours
Brief en 20 minutes, cadrage écrit sous 48h. Aucun engagement à ce stade.