Consulter ou télécharger le rapport d'exemple
Accès public au PDF complet, sans formulaire ni adresse e-mail. Le document est un exemple fictif représentatif de nos livrables : le client AcmeFictio, les cibles et les données sont fabriqués pour la démonstration. Il ne constitue pas une preuve concernant votre propre système.
Télécharger le PDF, sans formulaireOuvrir le PDF dans un nouvel onglet · Demander un échantillon sous NDA
Structure type d'un rapport de pentest
- Executive summary : synthèse en langage non-technique, posture de sécurité globale, risques prioritaires.
- Périmètre et méthodologie : cibles testées, approche (black/grey/white box), référentiels utilisés.
- Findings techniques : chaque vulnérabilité avec titre, sévérité CVSS, description, preuve d'exploitation et recommandation.
- Plan de remédiation priorisé : corrections classées par urgence et faisabilité.
- Annexes : captures d'écran, logs, vecteurs d'attaque détaillés.
Le finding : anatomie d'une vulnérabilité documentée
Chaque finding doit contenir : un titre clair, la sévérité CVSS v3.1 avec le vecteur complet, une description du risque, les étapes de reproduction pas-à-pas, une capture d'écran ou preuve de concept, l'impact métier concret et une recommandation de correction actionnable.
Executive summary : écrire pour la direction
L'executive summary ne doit pas contenir de jargon technique. Il répond à trois questions : quel est le niveau de risque global ? quelles sont les 3-5 priorités de correction ? quelle est la posture de sécurité par rapport au marché ?
Chez Laucked : nos livrables
Le rapport Laucked est livré sous 48-72 h après la fin des tests. Il inclut l'executive summary, le détail technique avec preuves, le plan de remédiation priorisé et une session de restitution orale sur demande. Le re-test de validation est inclus selon le format de mission. Voir notre méthodologie publique.
Lire le contre-test sans confondre correction et absence de risque
| Statut | Critère | Preuve attendue |
|---|---|---|
| Corrigé sur le périmètre testé | L’exploitation initiale échoue et le cas autorisé fonctionne | Version, date et résultat des deux tests |
| Partiellement corrigé | Une variante ou un autre point d’entrée reste exposé | Scénario résiduel et risque actualisé |
| Non corrigé | Le constat reste reproductible | Nouvelle preuve limitée aux données de test |
| Non vérifié | Accès, environnement ou délai insuffisant | Motif explicite et prochaine vérification prévue |
Une attestation de réalisation décrit une mission, ses dates et son périmètre. Elle ne certifie pas qu’un produit est sans faille. Toute synthèse partagée avec un client doit préciser les exclusions, l’état des corrections et la date du contre-test.
Questions fréquentes sur le rapport de pentest
Que contient un rapport de pentest ?
Quatre blocs : un executive summary sans jargon destiné à la direction, le détail technique de chaque vulnérabilité avec sa criticité CVSS et ses preuves reproductibles, un plan de remédiation priorisé, et le périmètre exact testé avec les dates et la méthodologie appliquée. Sans preuve reproductible, un finding n'est pas exploitable par l'équipe technique.
Où trouver un exemple de rapport de test d'intrusion en PDF ?
Nous publions un exemple de rapport fictif représentatif, téléchargeable en PDF sans formulaire. Il reprend la structure complète d'une mission : executive summary, findings notés CVSS, plan de remédiation et attestation de re-test.
Quels sont les livrables d'un pentest ?
Le rapport détaillé, l'executive summary, le plan de remédiation priorisé, et selon le format de mission une attestation de re-test après correction et une session de restitution orale. L'attestation est le document que réclament les clients grands comptes et les assureurs cyber.
Sous quel délai le rapport est-il livré après les tests ?
Sous 48 à 72 heures après la fin des tests. Les vulnérabilités critiques sont signalées immédiatement pendant la mission, sans attendre le rapport final.
Un rapport de pentest suffit-il pour répondre à un client ou à un assureur ?
Le rapport complet contient des détails d'exploitation qui ne se transmettent pas à un tiers. Pour un questionnaire sécurité fournisseur ou un dossier d'assurance cyber, c'est l'attestation de test, qui atteste du périmètre, des dates et de la correction des vulnérabilités, qui constitue la preuve transmissible.
Pour approfondir : NIST SP 800-115 : contenu et structure de restitution attendus d’un rapport de test.