Pentest applications web & API
Sites, extranets, SaaS, API REST/GraphQL : authentification, contrôle d'accès, injections, logique métier. Référentiel OWASP.
Boîte noire · grise · blanchePentester indépendant · Bretagne
Voyez votre SI avec les yeux d'un attaquant. Avant lui.
Tests d'intrusion, audits de vulnérabilités et campagnes de phishing pour les PME, ETI et collectivités. Des vulnérabilités réellement exploitées, priorisées par risque, avec un plan de remédiation concret.
- OSCP
- HTB Pro Labs Dante
- eJPT
Un pentest, c'est quoi ?
Une attaque réelle, encadrée, au service de votre défense.
Le pentester agit comme un attaquant au sein de votre réseau ou de vos applications : recherche de données confidentielles, exploitation de vulnérabilités, attaques de type man-in-the-middle, cassage de condensats de mots de passe, élévation de privilèges, usurpation d'identité…
Là où un scanner s'arrête à une liste d'alertes, le test d'intrusion va jusqu'à l'exploitation pour répondre à la seule question qui compte : jusqu'où un attaquant pourrait-il aller, et avec quelles conséquences ?
01
Exploitation réelle
Chaque vulnérabilité est démontrée, preuves à l'appui. Pas de faux positifs dans le rapport.
02
Priorisé par le risque
Les constats sont classés selon leur impact métier et leur facilité d'exploitation.
03
Actionnable
Des recommandations précises, réalistes, pensées pour vos équipes et vos contraintes.
Prestations
Des audits sur mesure, du web à l'Active Directory.
Pentest interne & Active Directory
Scénario « attaquant dans le réseau » ou « poste compromis » : mouvements latéraux, élévation de privilèges, chemins vers l'administrateur de domaine.
Sur site ou à distancePentest externe
Votre surface exposée sur Internet telle qu'un attaquant la voit : services, VPN, messagerie, fuites d'informations, sous-domaines oubliés.
Cartographie + exploitationAudit de vulnérabilités
Revue outillée et manuelle de vos actifs pour identifier vulnérabilités et mauvaises configurations, avec un plan de correction priorisé.
Idéal en première étapeCampagne de phishing
Simulation réaliste et éthique d'hameçonnage pour mesurer l'exposition de vos collaborateurs, avec statistiques anonymisées.
Scénarios adaptés à votre secteurSensibilisation des équipes
Sessions concrètes, basées sur des attaques réelles, pour ancrer les bons réflexes : mots de passe, phishing, ingénierie sociale.
Présentiel ou visioMéthode
Un déroulé clair, de la convention à la restitution.
- 01
Cadrage
Échange sur vos enjeux, définition du périmètre, des scénarios et des fenêtres de test. Convention d'audit signée.
- 02
Reconnaissance
Cartographie de la surface d'attaque et collecte d'informations, comme le ferait un attaquant.
- 03
Exploitation
Exploitation contrôlée des vulnérabilités pour mesurer l'impact réel. Alerte immédiate en cas de faille critique.
- 04
Rapport
Synthèse pour la direction, détail technique avec preuves et recommandations priorisées.
- 05
Restitution
Présentation des résultats à vos équipes, puis contre-audit pour valider les corrections.
Le livrable
Un rapport lisible par la direction, utile aux techniciens.
- Synthèse managériale : niveau de risque global et priorités, sans jargon.
- Constats détaillés : description, preuves d'exploitation, étapes de reproduction.
- Criticité évaluée selon l'impact et la difficulté d'exploitation.
- Plan de remédiation : actions concrètes, rapides ou structurelles.
CritiquePWT-2026-04
Contrôle d'accès défaillant sur l'API de facturation
- Impact
- Accès aux factures de l'ensemble des clients
- Exploitation
- Simple — utilisateur authentifié
- Recommandation
- Vérifier côté serveur l'appartenance de chaque ressource à l'utilisateur
Exemple fictif, à titre d'illustration
Certifications
Des compétences offensives éprouvées en conditions réelles.
Zone d'intervention
Basé en Bretagne, disponible partout en France.
Interventions sur site à Rennes, Brest, Lorient et dans toute la Bretagne. Les tests externes, web et une grande partie des tests internes peuvent être réalisés à distance, partout en France.
En tant qu'indépendant, vous échangez directement avec la personne qui réalise les tests : du cadrage jusqu'à la restitution.
FAQ
Questions fréquentes
Combien de temps dure un test d'intrusion ?
Cela dépend du périmètre : de 2 à 3 jours pour une application web simple, jusqu'à une ou deux semaines pour un test interne Active Directory complet. La durée est fixée ensemble lors du cadrage.
Combien coûte un pentest ?
Le prix dépend du nombre de jours nécessaires au périmètre retenu. Le devis est gratuit et sans engagement : décrivez votre besoin via le formulaire ci-dessous.
Les tests risquent-ils de perturber ma production ?
Les tests sont menés de façon contrôlée, dans des fenêtres convenues, en évitant toute action destructrice. Les actions sensibles sont validées avec vous au préalable et vous êtes prévenu immédiatement en cas de découverte critique.
Quelle différence entre audit de vulnérabilités et pentest ?
L'audit identifie largement les faiblesses connues. Le pentest va plus loin : il exploite et enchaîne les vulnérabilités pour démontrer l'impact réel sur votre activité.
Comment sont traitées mes données ?
Les engagements sont couverts par un accord de confidentialité. Les données collectées sont limitées au strict nécessaire, chiffrées, puis supprimées à l'issue de la mission.
Proposez-vous un contre-audit ?
Oui. Après application des correctifs, un contre-audit vérifie que les vulnérabilités sont bien corrigées.
Contact
Parlons de votre périmètre.
Devis gratuit. Réponse rapide, en direct avec le pentester.
- Téléphone+33 6 09 69 66 89
- Emailstephan.thomas.pro@gmail.com
- SecteurRennes · Brest · Lorient · à distance