Pentest SaaS B2B : multi-tenant, SSO, API, back-office
Un pentest SaaS B2B n'est pas un pentest web étendu : c'est une mission qui couvre 6 surfaces interdépendantes avec des risques spécifiques (BOLA inter-tenant, BFLA support, fuites webhook). Voici les surfaces à tester, les 6 déclencheurs commerciaux fréquents, et la méthodologie OWASP + ASVS qui doit être appliquée.
Pentest web & API, audit IA, Toulouse, méthodologie OWASP/PTES
Quel besoin déclenche votre pentest SaaS ?
- Un client demande un test ou des preuves avant signature : précisez ses critères d'acceptation.
- Une API, un SSO ou un nouveau rôle modifie les accès aux données : ciblez les parcours concernés.
- Un renouvellement de contrat ou une revue sécurité nécessite un état récent et documenté.
Le déclencheur permet de définir les surfaces, les livrables et l'échéance avant le devis.
En bref
Le périmètre dépend du multi-tenant, du back-office support, des API partenaires et des parcours métier. Deux points à examiner sont isolation inter-tenant (BOLA) et privilèges support (BFLA). Le devis précise les accès, les exclusions et les conditions du contre-test selon votre architecture.
Les 6 surfaces critiques d'un SaaS B2B
Chaque surface a ses risques spécifiques et nécessite une méthodologie de test dédiée. Un pentest SaaS B2B sérieux couvre les 6, avec un effort proportionné à l'exposition de chacune dans votre architecture.
Portail client multi-tenant
Espace front exposé aux utilisateurs finaux des clients. Risques : BOLA inter-tenant (accès aux données d'un autre client), escalade de privilèges entre rôles, XSS persistante via champs partagés, fuite via metadata.
Back-office support / admin interne
Interface utilisée par votre équipe support pour intervenir sur les comptes clients. Risques : impersonation utilisateur sans traçabilité, BFLA (support qui peut faire des opérations admin), exports massifs non journalisés.
API publique et partenaires
API REST, GraphQL ou webhooks exposés aux clients ou partenaires. Risques OWASP API Top 10 : BOLA, BFLA, scopes trop permissifs sur tokens, rate-limiting absent sur endpoints critiques, signatures webhook non vérifiées.
SSO et fédération d'identité
SAML, OIDC, Keycloak, Auth0. Risques : configuration SAML laxiste (signature, audience), assertions non vérifiées, gestion d'attribut côté SP, déprovisioning incomplet après sortie d'un utilisateur côté client.
Workflows critiques et opérations sensibles
Paiement, signature, validation d'opérations métier, export RGPD. Risques : race conditions, double dépense, validation insuffisante, bypass via API directe quand l'UI a des garde-fous.
Comptes invités et liens partagés
Liens d'invitation, partage de documents, comptes externes ponctuels. Risques : tokens d'invitation devinables, durée de vie illimitée, scope d'accès trop large, réutilisation après révocation.
6 déclencheurs commerciaux observés en PME SaaS
Ces six contextes aident à préciser le besoin. Votre déclencheur permet de définir les contrôles utiles et le calendrier de la mission.
Questionnaire sécurité grand compte (CAIQ, SIG)
Un prospect grand compte envoie un questionnaire détaillé. Sans pentest récent, le deal stagne en pré-contractuel pendant 4-8 semaines.
SOC 2 Type II annuel
Préciser avec l’auditeur les preuves techniques utiles au périmètre SOC 2 et la fréquence de vérification attendue.
Renouvellement assurance cyber
L'assureur exige un pentest récent (< 12 mois) pour valider la souscription ou éviter une surprime de 15-25%.
Levée de fonds / due diligence
L'investisseur ou le rachat impose une due diligence sécurité. Le pentest est un livrable standard du data room.
Release majeure / refonte UI
Une refonte importante du portail client ou de l'API justifie un pentest avant production pour éviter une régression sécurité.
Conformité NIS2 / RGPD
Si vous êtes dans le périmètre NIS2 ou si vous traitez des données personnelles à risque, le pentest régulier est attendu.
Checklist pour cadrer un pentest SaaS B2B
- Deux tenants fictifs, des objets de test et les frontières de données attendues.
- Des comptes lecteur, gestionnaire et support selon les rôles existants.
- La liste des URL, API, webhooks, intégrations et environnements autorisés.
- Les règles SSO, la durée des sessions et les conditions de révocation.
- Les parcours sensibles, les limites d'essai et les exclusions.
- L'échéance, le destinataire du rapport et les conditions du contre-test.
Vous pouvez compléter le cahier des charges de préparation pour demander un devis pentest comparable.
Méthodologie appliquée pour un pentest SaaS B2B
OWASP Top 10 + OWASP API Top 10
Cadre principal pour la couche applicative. L'API Top 10 (BOLA, BFLA, scopes, rate-limiting) est particulièrement importante en SaaS B2B où la majorité des risques métier passent par l'API.
OWASP ASVS (Application Security Verification Standard)
Référentiel de niveaux de sécurité (L1, L2, L3) avec ~280 contrôles vérifiables. Particulièrement adapté au SaaS B2B pour structurer un test exhaustif sur SSO, cryptographie, gestion des sessions, validation des entrées.
Tests multi-tenants ciblés
Création de 2-3 tenants de test avec configurations différentes, tests systématiques d'isolation (énumération d'IDs, accès cross-tenant via API, accès aux exports d'un autre tenant).
Matrice des rôles testée systématiquement
Inventaire de tous les rôles (visiteur, end-user, admin tenant, support, ops), test des actions autorisées pour chaque rôle, recherche des bypass par appel API directe ou modification de paramètres.
Pour aller plus loin
- Audit SaaS : page produit : méthodologie complète, surfaces, livrables.
- Audit API : focus REST, GraphQL, webhooks, signatures.
- Audit portail client : focus extranet et espaces multi-rôles.
- Cabinet pentest PME : 8 critères : guide de sélection.
- Répondre à un questionnaire sécurité client : déclencheur n°1.
Cadrer un pentest SaaS B2B ?
Décrivez vos tenants, vos rôles, vos API et votre échéance pour définir les surfaces à tester et les livrables attendus.
Pour approfondir : OWASP : vérification des autorisations sur chaque ressource.