1. Définition et objectifs
Un test d'intrusion (anglais : penetration test, abrégé pentest) est une simulation offensive contrôlée conduite par un expert en sécurité offensive pour identifier, exploiter et documenter les vulnérabilités d'un système, avant qu'un attaquant réel ne le fasse. Le périmètre est défini contractuellement : application web, API, infrastructure cloud, mobile, réseau interne, composant IA / LLM, ou combinaisons.
Contrairement à un scan automatisé, le pentest repose sur l'intelligence humaine pour chaîner les failles, contourner les protections actives (WAF, RASP, anti-bot), évaluer l'impact métier réel et produire des preuves d'exploitation utilisables en CODIR, en due diligence ou devant un régulateur.
Les objectifs typiques : répondre à une due diligence client ou à un questionnaire fournisseur, préparer un audit de certification (ISO 27001, SOC 2, HDS, PCI DSS), satisfaire une obligation réglementaire (NIS2, DORA, RGPD art. 32), valider une mise en production sensible, réduire une prime d'assurance cyber, ou simplement mettre l'organisation en capacité de décider avec des faits plutôt que des promesses.
2. Méthodologies et référentiels
Un pentest sérieux ne s'improvise pas. Il s'appuie sur des référentiels publics qui garantissent la couverture, la répétabilité et l'auditabilité de la mission. Les quatre référentiels à exiger du prestataire :
Penetration Testing Execution Standard
Structure macro en 7 phases, du pre-engagement au reporting. C’est la colonne vertébrale de la mission.
OWASP Web Security Testing Guide
Référentiel exhaustif pour les tests applicatifs web : auth, session, autorisations, input validation, configuration, cryptographie, business logic, client-side.
OWASP LLM Top 10
Spécifique aux composants IA / LLM en production : prompt injection, data poisoning, exfiltration via RAG, abus de tools agentiques.
NIST SP 800-115 & MITRE ATT&CK
NIST fournit le cadre technique de référence côté US. MITRE ATT&CK fournit la taxonomie des techniques adverses réelles pour cartographier les findings sur des scénarios de menace.
Un prestataire qui ne cite aucun référentiel, ou qui prétend avoir « sa propre méthodologie propriétaire » sans pouvoir la rapprocher de PTES ou OWASP, est un signal faible.
3. Les 7 étapes d'un pentest (PTES)
- Pre-engagement : Contractualisation, autorisations, règles d’engagement (RoE), fenêtres d’intervention, comptes de test, points de contact d’urgence et validation légale. Une erreur de cadrage ici fait dérailler toute la mission.
- Reconnaissance : Collecte OSINT et technique : domaines, sous-domaines, ports, technologies, versions, empreintes TLS, fuites publiques, endpoints API publics, repositories publics. Cartographie précise de la surface d’attaque avant toute interaction offensive.
- Modélisation de menace : Identification des actifs critiques, des acteurs pertinents (attaquants externes, insiders, supply chain), des scénarios d’attaque probables et des chemins les plus rentables. C’est la phase qui distingue un pentest sérieux d’un scan déguisé.
- Analyse de vulnérabilités : Fuzzing, tests d’autorisation, tests d’injection, audit de configuration, revue des flux inter-services, tests d’authentification et de session. Combinaison d’outils (Burp, ZAP, sqlmap, nuclei) et de recherche manuelle guidée par la modélisation.
- Exploitation : Validation de l’exploitabilité réelle : obtention d’un accès, exfiltration de données témoins, contournement d’une règle métier, escalade horizontale entre tenants. Les preuves sont capturées (PoC) sans dommage opérationnel.
- Post-exploitation : Mesure de l’impact métier : escalade de privilèges, mouvement latéral, persistance, exfiltration simulée, pivot vers des services adjacents. C’est ce qui transforme une CVE en décision d’arbitrage au CODIR.
- Reporting et restitution : Rapport technique + résumé dirigeant, preuves, scoring CVSS, priorisation par risque métier, recommandations de remédiation, plan d’action. Restitution orale avec CTO, équipe produit et RSSI. Re-test planifié pour valider les corrections.
Pour la méthodologie Laucked complète avec exemples de livrables, voir Méthodologie et livrables.
4. Black box, grey box, white box
box · 01
Black box
Aucune information fournie, le pentester simule un attaquant externe. Mesure de résistance opportuniste, red team initial.
box · 02 · recommandé
Grey box
Comptes utilisateurs et doc fonctionnelle minimale. Cas le plus courant : meilleur ratio couverture / budget.
box · 03
White box
Code source, archi, comptes privilégiés. Périmètres critiques, régulés (DORA, HDS) ou audits approfondis.
Voir aussi : Pentest interne vs externe.
5. Typologies de scopes
Le bon scope dépend de votre surface d'exposition réelle, des actifs critiques et du contexte réglementaire. Un pentest qui cible le mauvais périmètre est un pentest cher pour rien.
Application web
Sites vitrine, portails clients, back-offices, SPA, marketplaces. Méthodologie OWASP WSTG, tests d’injection, IDOR, auth, session, upload, SSRF, désérialisation.
en savoir plus →API REST et GraphQL
BOLA, BFLA, mass assignment, rate limiting, auth tokens, exposition de données sensibles. Couverture OWASP API Security Top 10 et OWASP WSTG, avec tests de flux inter-services.
en savoir plus →Infrastructure et cloud
AWS, Azure, GCP : IAM permissifs, buckets publics, secrets exposés, configurations Kubernetes, fonctions serverless, segmentation VPC, exposition de panels d’admin.
en savoir plus →Mobile (iOS, Android)
Analyse statique et dynamique de l’app, stockage local, certificate pinning, OAuth / OIDC, deep links, communication API, jailbreak / root detection.
en savoir plus →IA et LLM en production
Prompt injection, data exfiltration via RAG, empoisonnement de contextes, contournement de guardrails, abus de tools agentiques. Méthodologie OWASP LLM Top 10 + retours de nos missions red team IA.
en savoir plus →Social engineering
Campagnes de phishing ciblé, vishing, simulation de red team avec vecteur humain. Complémentaire aux tests techniques lorsque la maturité SI le justifie.
en savoir plus →6. Obligations réglementaires qui imposent un test d'intrusion
La majorité des pentests ne sont plus commandés par conviction mais par obligation contractuelle ou réglementaire. Les principaux textes à connaître :
| Texte | Exigence | Pour aller plus loin |
|---|---|---|
| NIS2 (directive UE 2022/2555) | Tests de sécurité réguliers pour entités essentielles et importantes (art. 21) | Voir la page → |
| DORA (règlement UE 2022/2554) | TLPT (Threat-Led Penetration Testing) art. 24-27, au moins une fois tous les 3 ans | Voir la page → |
| RGPD art. 32 | Tester régulièrement l’efficacité des mesures techniques et organisationnelles | Voir la page → |
| HDS (référentiel ANS) | Audits de sécurité pour hébergeurs et éditeurs traitant des données de santé | Voir la page → |
| PCI DSS v4 | Pentest applicatif et réseau annuel, après chaque changement significatif (req. 11.4) | Voir la page → |
| ISO 27001 / SOC 2 | Tests de sécurité périodiques intégrés au SMSI et aux contrôles Trust Services | Voir la page → |
Voir aussi : NIS2 : guide complet · Pentest et assurance cyber.
7. Fréquence recommandée
- Pentest annuel sur chaque périmètre critique (application cliente, API publique, cloud de production).
- Pentest après changement majeur : refonte d'architecture, nouveau produit, intégration IA, migration cloud, acquisition, exposition d'une nouvelle API ou d'un nouveau tenant, intégration SSO critique.
- TLPT DORA : tous les 3 ans minimum pour les entités financières concernées.
- PCI DSS : pentest annuel et après chaque changement significatif.
- Entre deux pentests : programme continu (bug bounty, scan authentifié, Guard) pour couvrir la dérive des configurations et les CVE qui émergent en cours d'année.
8. Comment choisir un prestataire de test d'intrusion
Les prestataires affichent tous le même vocabulaire. Pour départager, voici les critères qui filtrent réellement :
- Qualifications individuelles des pentesters (OSCP, OSWE, OSCE, CRTO, GPEN) et présence d’au moins un profil senior.
- Qualification cabinet PASSI ANSSI pour les missions sensibles (administration, OIV, OSE).
- Méthodologie documentée et communiquée en amont (PTES, OWASP WSTG, OWASP LLM Top 10, MITRE ATT&CK).
- Suivi des findings partagé en ligne avec commentaires, statuts, re-tests et export de preuves.
- Capacité à tester votre stack spécifique : cloud-native, IA / LLM, GraphQL, mobile, Kubernetes.
- Exemple de rapport réel fourni avant signature (anonymisé) pour juger de la profondeur.
- Re-test inclus dans le forfait ou clairement cadré sur devis.
- Atelier de cadrage technique avec votre CTO avant chiffrage (plutôt que devis automatique au scope déclaratif).
- Assurance RC professionnelle adaptée au pentest et clauses contractuelles propres (confidentialité, subsidiarité, fin de mission).
- Transparence sur les profils réellement mobilisés (pas de bait-and-switch junior).
Voir la comparaison détaillée : Laucked vs AlgoSecure.
9. Cadrage et budget
Le budget d'un test d'intrusion dépend du périmètre réel, du niveau de profondeur, du contexte réglementaire et de la séniorité des profils mobilisés. Les fourchettes observées sur le marché français en 2026 :
Pour les détails par type de mission : Prix pentest PME 2026 · Combien coûte un test d'intrusion · Prix pentest web.
10. Le rapport de pentest
Le rapport est le véritable livrable. Il doit servir quatre publics distincts :
- CODIR / dirigeants : résumé exécutif, risque métier, décisions d'arbitrage.
- RSSI / DSI : inventaire priorisé par CVSS, cartographie MITRE ATT&CK, plan de remédiation.
- Équipe produit / dev : preuves techniques, PoC reproductibles, recommandations de code.
- Auditeurs / clients / régulateurs : attestation, synthèse et traces permettant de démontrer la diligence.
Voir un exemple concret : Rapport de pentest : exemple complet.
11. Pentest vs scan vs audit
Trois pratiques souvent confondues, trois objectifs distincts :
- Scan de vulnérabilités : automatisé, détecte les CVE connues sans les exploiter. Volume élevé de faux positifs. Utile en continu pour couvrir la dérive. Pentest vs scan.
- Audit de sécurité : examine l'organisation, les processus, les politiques et les contrôles. N'exploite généralement rien activement. Pentest vs audit de sécurité.
- Pentest : combine exploitation manuelle + automatisation ciblée pour démontrer l'exploitabilité réelle et l'impact métier. Le complément offensif des deux précédents. Pentest automatisé vs manuel.
12. Positionnement Laucked
Laucked est un cabinet de pentest product-led qui cible les PME, scale-up SaaS, ETI industrielles, sous-traitants aéronautiques et grands comptes français opérant sur des stacks cloud-native, avec des API modernes, des composants IA / LLM en production et des obligations réglementaires (NIS2, DORA, HDS, RGPD).
- Atelier de cadrage technique dédié avec votre CTO avant tout chiffrage.
- Méthodologies PTES, OWASP WSTG et OWASP LLM Top 10 documentées.
- Suivi des findings partagé en temps réel, pas un PDF en fin de mission.
- Re-test et attestation inclus, rapport adapté CODIR + technique.
- Chiffrage sur devis après atelier de cadrage : pas de grille catalogue, pas de « à partir de », périmètre et livrables engagés sous 48 h après diagnostic.
13. FAQ
Qu’est-ce qu’un test d’intrusion ?
Un test d’intrusion (pentest) est une simulation offensive contrôlée conduite par un expert en sécurité pour identifier, exploiter et documenter les vulnérabilités d’un système d’information, d’une application, d’une API, d’une infrastructure cloud ou d’un composant IA avant qu’un attaquant ne le fasse. Il se distingue du scan automatisé par l’exploitation manuelle, le chaînage d’attaques et l’évaluation de l’impact métier réel.
Quelle méthodologie suit un test d’intrusion ?
Les deux référentiels majeurs sont PTES (Penetration Testing Execution Standard) pour la structure générale (pre-engagement, reconnaissance, modélisation de menace, analyse, exploitation, post-exploitation, reporting) et OWASP WSTG pour les tests applicatifs web. Sur les composants IA / LLM, OWASP LLM Top 10 complète le dispositif. Côté cadre général, NIST SP 800-115 et MITRE ATT&CK fournissent respectivement le cadre technique et la taxonomie des techniques adverses.
Quelles obligations réglementaires imposent un test d’intrusion ?
NIS2 (directive UE 2022/2555, transposition française en cours via le projet de loi REN) imposera des tests de sécurité réguliers aux entités essentielles et importantes. DORA (règlement UE 2022/2554) impose le TLPT (Threat-Led Penetration Testing) aux entités financières d’importance systémique. RGPD art. 32 exige de tester régulièrement l’efficacité des mesures de sécurité. HDS impose des audits pour les hébergeurs et éditeurs traitant des données de santé. PCI DSS impose un pentest annuel aux acteurs manipulant des données de paiement carte. ISO 27001 et SOC 2 intègrent le pentest dans leurs exigences de contrôles.
Combien coûte un test d’intrusion en France ?
Les fourchettes observées sur le marché français vont d’environ 4 500 € HT pour un scope ciblé (une application web simple) à 30 000 € + pour un périmètre régulé ETI / grand compte (stack multi-tenant, IA en production, contraintes DORA ou HDS). Ces fourchettes sont pédagogiques et ne constituent pas une grille Laucked : chaque mission est cadrée sur devis après un atelier technique dédié qui précise le scope, les accès, les règles d’engagement et les livrables attendus.
À quelle fréquence faut-il réaliser un test d’intrusion ?
La pratique standard est un pentest annuel sur les périmètres critiques, complété par un pentest après chaque changement majeur : refonte d’architecture, nouveau produit, intégration IA, migration cloud, acquisition, exposition d’une nouvelle API ou d’un nouveau tenant. DORA prévoit un TLPT tous les 3 ans minimum pour les entités concernées. PCI DSS impose un pentest annuel et après chaque changement significatif. Entre deux pentests, un programme continu (bug bounty, scan authentifié, Guard) permet de couvrir la dérive.
Comment choisir un prestataire de test d’intrusion ?
Les critères clés : qualifications individuelles (OSCP, OSWE, OSCE, CRTO, GPEN), qualifications cabinet (PASSI ANSSI pour les missions sensibles), méthodologie documentée (PTES, OWASP WSTG, OWASP LLM Top 10), plateforme de suivi des findings, capacité à tester votre stack spécifique (cloud-native, IA, API GraphQL, mobile), qualité des rapports (exemple fourni en amont), re-test inclus, transparence sur les profils mobilisés, assurance RC professionnelle adaptée. Un bon prestataire commence par un atelier de cadrage technique avec votre CTO avant de chiffrer.
Quelle différence entre black box, grey box et white box ?
En black box, le pentester démarre sans aucune information (comme un attaquant externe) : utile pour mesurer la résistance à une attaque opportuniste mais souvent peu efficient. En grey box, il dispose de comptes utilisateurs et d’un minimum d’information (cas le plus courant et recommandé) : ratio couverture / budget optimal. En white box, il a accès au code source, aux schémas d’architecture et aux comptes privilégiés : idéal pour des périmètres critiques ou régulés où la profondeur prime sur la simulation.