V
rôle · visiteur
Visiteur non authentifié
Pages publiques, formulaires d’accès
risque lowExtranet et espace client
Audit portail client pour extranets, espaces clients et applications métier
Quand un portail client porte des données, des documents ou des actions sensibles, le risque se loge souvent dans les rôles, les parcours et les comptes externes. Un audit ciblé sur cette surface permet de tester ce qui est réellement exploitable sans élargir inutilement le périmètre.
L'audit portail client fait partie de l'offre Pentest expert : surface cadrée sur devis après diagnostic.
R
Pentest web & API, audit IA, Toulouse, méthodologie OWASP/PTES
Livrables utiles
- Synthèse dirigeant sur les failles qui menacent la relation client ou la sous-traitance.
- Rapport technique sur les rôles, autorisations, parcours et objets exposés.
- Base de preuve réutilisable pour questionnaire client, assurance cyber ou revue fournisseur.
- Priorisation exploitable pour produit, engineering et sécurité.
Expertise publique
Fondateurs Laucked
Les contenus clés sont reliés aux fondateurs, à des références anonymisées et à des surfaces de preuve consultables sans prise de contact.
OSCP · OSEP · OSWE
NDA avant échange
Méthodologie OWASP / PTES
Rapport exécutif + technique
Re-test inclus
Basé en France
Acteurs du portail
Cinq rôles. Cinq angles d’attaque possibles.
Chaque rôle a un périmètre théorique. Le test consiste à vérifier que ce périmètre tient face à un compte motivé, mal calibré ou compromis. On ne regarde pas la doc, on regarde ce que le portail laisse réellement faire.
C
rôle · client
Client final
Espace client, documents personnels, actions métier
risque medI
rôle · invite
Invité ponctuel
Lien temporaire, accès dossier, signature
risque highP
rôle · partenaire
Compte partenaire
Sous-traitance, suivi inter-tenant, exports
risque highS
rôle · support
Compte support interne
Impersonation, opérations exceptionnelles
risque highMatrice d’exposition
Ce que chaque rôle voit, vraiment
Extrait représentatif d’un audit Laucked. Chaque cellule est le résultat d’un test (lecture, action, énumération), pas une déclaration sur étagère. Les cellules exposé et ambigu sont les premières à corriger.
| Surface auditée | visiteurVisiteur non authentifié | clientClient final | inviteInvité ponctuel | partenaireCompte partenaire | supportCompte support interne |
|---|---|---|---|---|---|
| Authentification et liens d’accèslogin, magic-link, expiration, 2FA | autorisé | isolé | ambigu | isolé | isolé |
| Consultation de documentspièces, contrats, exports clients | n/a | isolé | exposé | ambigu | autorisé |
| Lecture des objets métierdossiers, opérations, statuts | n/a | isolé | isolé | exposé | autorisé |
| Actions sensiblessignature, validation, paiement | n/a | autorisé | ambigu | isolé | autorisé |
| Workflows internessupport, impersonation, exports massifs | n/a | isolé | isolé | isolé | exposé |
légendeisoléautoriséambiguexposé
Playbook d’attaque
Trois scénarios qu’on déroule sur un portail typique
Iscénario · 01risque high
Lien d’invitation forwardé sur un canal externe
- Récupération du lien d’invitation depuis un autre tenant.
- Inspection du token : durée de vie, scope, signature.
- Tentative de réutilisation après révocation côté admin.
- Vérification que le lien ne donne pas accès à des objets parents.
Pscénario · 02risque high
Compte partenaire qui sort de son périmètre
- Énumération des objets visibles par tenant_id et par owner_id.
- Tentative de lecture inter-tenant via id deviné ou exposé.
- Modification d’un objet sur un dossier appartenant à un autre client.
- Test des exports : volumes, scopes, filtres serveur.
Sscénario · 03risque high
Compte support utilisé hors-cadre
- Contrôle de l’impersonation : journalisation, durée, scope.
- Test des opérations exceptionnelles (export, reset, refund).
- Vérification que les actions support sont tracées et revues.
- Recherche d’endpoints support exposés sans authentification renforcée.
questionnaire client
Réutiliser le rapport en due diligence
Quand un client demande des preuves, le rapport portail est souvent la première brique.
assurance cyber
Documenter l’exposition côté assureur
Les assureurs cyber demandent une vue défendable des accès et permissions.
revue fournisseur
Tenir la revue d’un grand compte
Le portail est souvent ce qui est revu en premier par un acheteur exigeant.
FAQ extranet et espace client
Questions fréquentes
Quelle différence entre audit portail client et audit SaaS ?
Quels comptes sont les plus risqués sur un portail client ?
Quand un portail client doit-il être testé ?
Quels liens avec la due diligence fournisseur ou client ?
Vos clients passent par ce portail. Vos risques aussi.
Un portail client mal cloisonné expose vos données, vos comptes et votre crédibilité. Un audit ciblé permet de documenter le risque réel et de produire des preuves défendables.