Pentest SaaS B2B — multi-tenant, SSO, API, back-office
Un pentest SaaS B2B n'est pas un pentest web étendu : c'est une mission qui couvre 6 surfaces interdépendantes avec des risques spécifiques (BOLA inter-tenant, BFLA support, fuites webhook). Voici les surfaces à tester, les 6 déclencheurs commerciaux fréquents, et la méthodologie OWASP + ASVS qui doit être appliquée.
Pentest web & API, audit IA, Toulouse, méthodologie OWASP/PTES
En bref
La surface d'un SaaS B2B est typiquement 3 à 5 fois plus large qu'un pentest web standard à cause du multi-tenant, du back-office support et des API partenaires. Les findings critiques sont presque toujours dans 2 zones : isolation inter-tenant (BOLA) et privilèges support (BFLA). Budget marché 8-25 k€ HT pour une PME éditrice.
Les 6 surfaces critiques d'un SaaS B2B
Chaque surface a ses risques spécifiques et nécessite une méthodologie de test dédiée. Un pentest SaaS B2B sérieux couvre les 6, avec un effort proportionné à l'exposition de chacune dans votre architecture.
Portail client multi-tenant
Espace front exposé aux utilisateurs finaux des clients. Risques : BOLA inter-tenant (accès aux données d'un autre client), escalade de privilèges entre rôles, XSS persistante via champs partagés, fuite via metadata.
Back-office support / admin interne
Interface utilisée par votre équipe support pour intervenir sur les comptes clients. Risques : impersonation utilisateur sans traçabilité, BFLA (support qui peut faire des opérations admin), exports massifs non journalisés.
API publique et partenaires
API REST, GraphQL ou webhooks exposés aux clients ou partenaires. Risques OWASP API Top 10 : BOLA, BFLA, scopes trop permissifs sur tokens, rate-limiting absent sur endpoints critiques, signatures webhook non vérifiées.
SSO et fédération d'identité
SAML, OIDC, Keycloak, Auth0. Risques : configuration SAML laxiste (signature, audience), assertions non vérifiées, gestion d'attribut côté SP, déprovisioning incomplet après sortie d'un utilisateur côté client.
Workflows critiques et opérations sensibles
Paiement, signature, validation d'opérations métier, export RGPD. Risques : race conditions, double dépense, validation insuffisante, bypass via API directe quand l'UI a des garde-fous.
Comptes invités et liens partagés
Liens d'invitation, partage de documents, comptes externes ponctuels. Risques : tokens d'invitation devinables, durée de vie illimitée, scope d'accès trop large, réutilisation après révocation.
6 déclencheurs commerciaux observés en PME SaaS
Dans 90% des missions Laucked sur SaaS B2B, le déclencheur d'achat n'est pas la curiosité sécurité — c'est l'un de ces 6 contextes. Identifier votre déclencheur permet de cadrer le bon niveau de profondeur.
Questionnaire sécurité grand compte (CAIQ, SIG)
Un prospect grand compte envoie un questionnaire détaillé. Sans pentest récent, le deal stagne en pré-contractuel pendant 4-8 semaines.
SOC 2 Type II annuel
L'audit annuel SOC 2 demande un pentest comme preuve du contrôle CC7.1 (gestion des vulnérabilités).
Renouvellement assurance cyber
L'assureur exige un pentest récent (< 12 mois) pour valider la souscription ou éviter une surprime de 15-25%.
Levée de fonds / due diligence
L'investisseur ou le rachat impose une due diligence sécurité. Le pentest est un livrable standard du data room.
Release majeure / refonte UI
Une refonte importante du portail client ou de l'API justifie un pentest avant production pour éviter une régression sécurité.
Conformité NIS2 / RGPD
Si vous êtes dans le périmètre NIS2 ou si vous traitez des données personnelles à risque, le pentest régulier est attendu.
Méthodologie appliquée pour un pentest SaaS B2B
OWASP Top 10 + OWASP API Top 10
Cadre principal pour la couche applicative. L'API Top 10 (BOLA, BFLA, scopes, rate-limiting) est particulièrement importante en SaaS B2B où la majorité des risques métier passent par l'API.
OWASP ASVS (Application Security Verification Standard)
Référentiel de niveaux de sécurité (L1, L2, L3) avec ~280 contrôles vérifiables. Particulièrement adapté au SaaS B2B pour structurer un test exhaustif sur SSO, cryptographie, gestion des sessions, validation des entrées.
Tests multi-tenants ciblés
Création de 2-3 tenants de test avec configurations différentes, tests systématiques d'isolation (énumération d'IDs, accès cross-tenant via API, accès aux exports d'un autre tenant).
Matrice des rôles testée systématiquement
Inventaire de tous les rôles (visiteur, end-user, admin tenant, support, ops), test des actions autorisées pour chaque rôle, recherche des bypass par appel API directe ou modification de paramètres.
Pour aller plus loin
- Audit SaaS — page produit — méthodologie complète, surfaces, livrables.
- Audit API — focus REST, GraphQL, webhooks, signatures.
- Audit portail client — focus extranet et espaces multi-rôles.
- Cabinet pentest PME — 8 critères — guide de sélection.
- Répondre à un questionnaire sécurité client — déclencheur n°1.
Cadrer un pentest SaaS B2B ?
Le diagnostic gratuit cartographie votre SaaS (tenants, rôles, API, SSO), identifie les surfaces critiques et recommande la profondeur de mission adaptée à votre déclencheur. 48 à 72 heures.