Test d'intrusion : guide complet 2026 (méthodologies, scopes, conformité)
Ce guide est le point d'entrée de tout notre cluster pentest : définition, méthodologies PTES et OWASP WSTG, typologies de scopes (web, API, cloud, IA), obligations réglementaires (NIS2, DORA, HDS, RGPD, PCI DSS), critères de choix d'un prestataire et cadrage budgétaire. Écrit pour les CTO, RSSI, DSI et dirigeants de PME, scale-up, ETI et grands comptes qui veulent un outil de décision, pas un argumentaire commercial.
Pentest web & API, audit IA, Toulouse, méthodologie OWASP/PTES
1. Définition et objectifs
Un test d'intrusion (anglais : penetration test, abrégé pentest) est une simulation offensive contrôlée conduite par un expert en sécurité offensive pour identifier, exploiter et documenter les vulnérabilités d'un système, avant qu'un attaquant réel ne le fasse. Le périmètre est défini contractuellement : application web, API, infrastructure cloud, mobile, réseau interne, composant IA / LLM, ou combinaisons.
Contrairement à un scan automatisé, le pentest repose sur l'intelligence humaine pour chaîner les failles, contourner les protections actives (WAF, RASP, anti-bot), évaluer l'impact métier réel et produire des preuves d'exploitation utilisables en CODIR, en due diligence ou devant un régulateur.
Les objectifs typiques : répondre à une due diligence client ou à un questionnaire fournisseur, préparer un audit de certification (ISO 27001, SOC 2, HDS, PCI DSS), satisfaire une obligation réglementaire (NIS2, DORA, RGPD art. 32), valider une mise en production sensible, réduire une prime d'assurance cyber, ou simplement mettre l'organisation en capacité de décider avec des faits plutôt que des promesses.
Pour une explication détaillée de la définition, lisez : Qu'est-ce qu'un pentest ? Définition, méthodes et guide.
2. Méthodologies et référentiels
Un pentest sérieux ne s'improvise pas. Il s'appuie sur des référentiels publics qui garantissent la couverture, la répétabilité et l'auditabilité de la mission. Les quatre référentiels à exiger du prestataire :
PTES
Penetration Testing Execution Standard. Structure macro en 7 phases, du pre-engagement au reporting. C'est la colonne vertébrale de la mission.
OWASP WSTG
Web Security Testing Guide. Référentiel exhaustif pour les tests applicatifs web, couvrant auth, session, autorisations, input validation, configuration, cryptographie, business logic, client-side.
OWASP LLM Top 10
Spécifique aux composants IA / LLM en production : prompt injection, data poisoning, exfiltration via RAG, abus de tools agentiques. Indispensable dès que l'application intègre un LLM.
NIST SP 800-115 & MITRE ATT&CK
NIST fournit le cadre technique de référence côté US. MITRE ATT&CK fournit la taxonomie des techniques adverses réelles pour cartographier les findings sur des scénarios de menace.
Un prestataire qui ne cite aucun référentiel, ou qui prétend avoir « sa propre méthodologie propriétaire » sans pouvoir la rapprocher de PTES ou OWASP, est un signal faible.
3. Les 7 étapes d'un pentest (PTES)
Pre-engagement
Contractualisation, autorisations, règles d’engagement (RoE), fenêtres d’intervention, comptes de test, points de contact d’urgence et validation légale. Une erreur de cadrage ici fait déraper toute la mission.
Reconnaissance
Collecte OSINT et technique : domaines, sous-domaines, ports, technologies, versions, empreintes TLS, fuites publiques, endpoints API publics, repositories publics. Cartographie précise de la surface d’attaque avant toute interaction offensive.
Modélisation de menace
Identification des actifs critiques, des acteurs pertinents (attaquants externes, insiders, supply chain), des scénarios d’attaque probables et des chemins les plus rentables. C’est la phase qui distingue un pentest sérieux d’un scan déguisé.
Analyse de vulnérabilités
Fuzzing, tests d’autorisation, tests d’injection, audit de configuration, revue des flux inter-services, tests d’authentification et de session. Combinaison d’outils (Burp, ZAP, sqlmap, nuclei) et de recherche manuelle guidée par la modélisation.
Exploitation
Validation de l’exploitabilité réelle : obtention d’un accès, exfiltration de données témoins, contournement d’une règle métier, escalade horizontale entre tenants. Les preuves sont capturées (PoC) sans dommage opérationnel.
Post-exploitation
Mesure de l’impact métier : escalade de privilèges, mouvement latéral, persistance, exfiltration simulée, pivot vers des services adjacents. C’est ce qui transforme une CVE en décision d’arbitrage au CODIR.
Reporting et restitution
Rapport technique + résumé dirigeant, preuves, scoring CVSS, priorisation par risque métier, recommandations de remédiation, plan d’action. Restitution orale avec CTO, équipe produit et RSSI. Re-test planifié pour valider les corrections.
Pour la méthodologie Laucked complète avec exemples de livrables, voir : Méthodologie et livrables.
4. Black box, grey box, white box
| Mode | Information fournie | Quand le choisir |
|---|---|---|
| Black box | Aucune (simulation attaquant externe) | Mesure de résistance opportuniste, red team initial |
| Grey box | Comptes utilisateurs, doc fonctionnelle minimale | Cas le plus courant et recommandé (meilleur ratio couverture / budget) |
| White box | Code source, archi, comptes privilégiés | Périmètres critiques, régulés (DORA, HDS) ou audits approfondis |
Voir aussi : Pentest interne vs externe.
5. Typologies de scopes
Le bon scope dépend de votre surface d'exposition réelle, des actifs critiques et du contexte réglementaire. Un pentest qui cible le mauvais périmètre est un pentest cher pour rien.
Application web
Sites vitrine, portails clients, back-offices, SPA, marketplaces. Méthodologie OWASP WSTG, tests d’injection, IDOR, auth, session, upload, SSRF, désérialisation.
En savoir plus →API REST et GraphQL
BOLA, BFLA, mass assignment, rate limiting, auth tokens, exposition de données sensibles. Couverture OWASP API Security Top 10 et OWASP WSTG, avec tests de flux inter-services.
En savoir plus →Infrastructure et cloud
AWS, Azure, GCP : IAM permissifs, buckets publics, secrets exposés, configurations Kubernetes, fonctions serverless, segmentation VPC, exposition de panels d’admin.
En savoir plus →Mobile (iOS, Android)
Analyse statique et dynamique de l’app, stockage local, certificate pinning, OAuth / OIDC, deep links, communication API, jailbreak / root detection.
En savoir plus →IA et LLM en production
Prompt injection, data exfiltration via RAG, empoisonnement de contextes, contournement de guardrails, abus de tools agentiques. Méthodologie OWASP LLM Top 10 + retours de nos missions red team IA.
En savoir plus →Social engineering
Campagnes de phishing ciblé, vishing, simulation de red team avec vecteur humain. Complémentaire aux tests techniques lorsque la maturité SI le justifie.
En savoir plus →6. Obligations réglementaires qui imposent un test d'intrusion
La majorité des pentests ne sont plus commandés par conviction mais par obligation contractuelle ou réglementaire. Les principaux textes à connaître :
| Texte | Exigence | Pour aller plus loin |
|---|---|---|
| NIS2 (directive UE 2022/2555) | Tests de sécurité réguliers pour entités essentielles et importantes (art. 21) | Voir la page → |
| DORA (règlement UE 2022/2554) | TLPT (Threat-Led Penetration Testing) art. 24-27, au moins une fois tous les 3 ans | Voir la page → |
| RGPD art. 32 | Tester régulièrement l’efficacité des mesures techniques et organisationnelles | Voir la page → |
| HDS (référentiel ANS) | Audits de sécurité pour hébergeurs et éditeurs traitant des données de santé | Voir la page → |
| PCI DSS v4 | Pentest applicatif et réseau annuel, après chaque changement significatif (req. 11.4) | Voir la page → |
| ISO 27001 / SOC 2 | Tests de sécurité périodiques intégrés au SMSI et aux contrôles Trust Services | Voir la page → |
Voir aussi : NIS2 : guide complet · Pentest et assurance cyber.
7. Fréquence recommandée
- Pentest annuel sur chaque périmètre critique (application cliente, API publique, cloud de production).
- Pentest après changement majeur : refonte d'architecture, nouveau produit, intégration IA, migration cloud, acquisition, exposition d'une nouvelle API ou d'un nouveau tenant, intégration SSO critique.
- TLPT DORA : tous les 3 ans minimum pour les entités financières concernées.
- PCI DSS : pentest annuel et après chaque changement significatif.
- Entre deux pentests : programme continu (bug bounty, scan authentifié, Guard) pour couvrir la dérive des configurations et les CVE qui émergent en cours d'année.
8. Comment choisir un prestataire de test d'intrusion
Les prestataires affichent tous le même vocabulaire. Pour départager, voici les critères qui filtrent réellement :
- •Qualifications individuelles des pentesters (OSCP, OSWE, OSCE, CRTO, GPEN) et présence d’au moins un profil senior.
- •Qualification cabinet PASSI ANSSI pour les missions sensibles (administration, OIV, OSE).
- •Méthodologie documentée et communiquée en amont (PTES, OWASP WSTG, OWASP LLM Top 10, MITRE ATT&CK).
- •Plateforme de suivi des findings avec commentaires, statuts, re-tests et export de preuves.
- •Capacité à tester votre stack spécifique : cloud-native, IA / LLM, GraphQL, mobile, Kubernetes.
- •Exemple de rapport réel fourni avant signature (anonymisé) pour juger de la profondeur.
- •Re-test inclus dans le forfait ou clairement cadré sur devis.
- •Atelier de cadrage technique avec votre CTO avant chiffrage (plutôt que devis automatique au scope déclaratif).
- •Assurance RC professionnelle adaptée au pentest et clauses contractuelles propres (confidentialité, subsidiarité, fin de mission).
- •Transparence sur les profils réellement mobilisés (pas de bait-and-switch junior).
Voir la comparaison détaillée : Laucked vs AlgoSecure.
9. Cadrage et budget
Le budget d'un test d'intrusion dépend du périmètre réel, du niveau de profondeur, du contexte réglementaire et de la séniorité des profils mobilisés. Les fourchettes observées sur le marché français en 2026 :
Scope ciblé (une application web simple, une API réduite) : environ 4 500 – 12 000 € HT.
Scope intermédiaire (SaaS B2B multi-tenant, API REST et GraphQL, quelques rôles, un tenant cloud) : 12 000 – 30 000 € HT.
Scope régulé ETI / grand compte (DORA, HDS, plusieurs tenants, composants IA en production, red team partielle) : 30 000 € HT et plus.
Ces fourchettes sont pédagogiques et ne constituent pas une grille Laucked. Chaque mission est cadrée sur devis après un atelier technique dédié qui précise le scope, les accès, les règles d'engagement et les livrables attendus.
Pour les détails par type de mission : Prix pentest PME 2026 · Combien coûte un test d'intrusion · Prix pentest web.
10. Le rapport de pentest
Le rapport est le véritable livrable. Il doit servir quatre publics distincts :
- CODIR / dirigeants : résumé exécutif, risque métier, décisions d'arbitrage.
- RSSI / DSI : inventaire priorisa par CVSS, cartographie MITRE ATT&CK, plan de remédiation.
- Équipe produit / dev : preuves techniques, PoC reproductibles, recommandations de code.
- Auditeurs / clients / régulateurs : attestation, synthèse et traces permettant de démontrer la diligence.
Voir un exemple concret : Rapport de pentest : exemple complet.
11. Pentest vs scan vs audit
Trois pratiques souvent confondues, trois objectifs distincts :
- Scan de vulnérabilités : automatisé, détecte les CVE connues sans les exploiter. Volume élevé de faux positifs. Utile en continu pour couvrir la dérive. Pentest vs scan.
- Audit de sécurité : examine l'organisation, les processus, les politiques et les contrôles. N'exploite généralement rien activement. Pentest vs audit de sécurité.
- Pentest : combine exploitation manuelle + automatisation ciblée pour démontrer l'exploitabilité réelle et l'impact métier. Le complement offensif des deux précédents. Pentest automatisé vs manuel.
12. Positionnement Laucked
Laucked est un cabinet de pentest product-led qui cible les PME, scale-up SaaS, ETI industrielles, sous-traitants aéronautiques et grands comptes français opérant sur des stacks cloud-native, avec des API modernes, des composants IA / LLM en production et des obligations réglementaires (NIS2, DORA, HDS, RGPD).
- Atelier de cadrage technique dédié avec votre CTO avant tout chiffrage.
- Méthodologies PTES, OWASP WSTG et OWASP LLM Top 10 documentées.
- Plateforme de suivi des findings en temps réel, pas un PDF en fin de mission.
- Re-test et attestation inclus, rapport adapté CODIR + technique.
- Cadrage sur devis, pas de grille tarifaire publique : chaque mission est dimensionnée sur votre réalité technique.
Un atelier technique dédié pour cadrer votre pentest, puis un devis clair.
13. FAQ
Qu’est-ce qu’un test d’intrusion ?
Un test d’intrusion (pentest) est une simulation offensive contrôlée conduite par un expert en sécurité pour identifier, exploiter et documenter les vulnérabilités d’un système d’information, d’une application, d’une API, d’une infrastructure cloud ou d’un composant IA avant qu’un attaquant ne le fasse. Il se distingue du scan automatisé par l’exploitation manuelle, le chaînage d’attaques et l’évaluation de l’impact métier réel.
Quelle méthodologie suit un test d’intrusion ?
Les deux référentiels majeurs sont PTES (Penetration Testing Execution Standard) pour la structure générale (pre-engagement, reconnaissance, modélisation de menace, analyse, exploitation, post-exploitation, reporting) et OWASP WSTG pour les tests applicatifs web. Sur les composants IA / LLM, OWASP LLM Top 10 complète le dispositif. Côté cadre général, NIST SP 800-115 et MITRE ATT&CK fournissent respectivement le cadre technique et la taxonomie des techniques adverses.
Quelles obligations réglementaires imposent un test d’intrusion ?
NIS2 (directive UE 2022/2555 transposée par la loi REN) impose des tests de sécurité réguliers pour les entités essentielles et importantes. DORA (règlement UE 2022/2554) impose le TLPT (Threat-Led Penetration Testing) aux entités financières d’importance systémique. RGPD art. 32 exige de tester régulièrement l’efficacité des mesures de sécurité. HDS impose des audits pour les hébergeurs et éditeurs traitant des données de santé. PCI DSS impose un pentest annuel aux acteurs manipulant des données de paiement carte. ISO 27001 et SOC 2 intègrent le pentest dans leurs exigences de contrôles.
Combien coûte un test d’intrusion en France ?
Les fourchettes observées sur le marché français vont d’environ 4 500 € HT pour un scope ciblé (une application web simple) à 30 000 € + pour un périmètre régulé ETI / grand compte (stack multi-tenant, IA en production, contraintes DORA ou HDS). Ces fourchettes sont pédagogiques et ne constituent pas une grille Laucked : chaque mission est cadrée sur devis après un atelier technique dédié qui précise le scope, les accès, les règles d’engagement et les livrables attendus.
À quelle fréquence faut-il réaliser un test d’intrusion ?
La pratique standard est un pentest annuel sur les périmètres critiques, complété par un pentest après chaque changement majeur : refonte d’architecture, nouveau produit, intégration IA, migration cloud, acquisition, exposition d’une nouvelle API ou d’un nouveau tenant. DORA prévoit un TLPT tous les 3 ans minimum pour les entités concernées. PCI DSS impose un pentest annuel et après chaque changement significatif. Entre deux pentests, un programme continu (bug bounty, scan authentifié, Guard) permet de couvrir la dérive.
Comment choisir un prestataire de test d’intrusion ?
Les critères clés : qualifications individuelles (OSCP, OSWE, OSCE, CRTO, GPEN), qualifications cabinet (PASSI ANSSI pour les missions sensibles), méthodologie documentée (PTES, OWASP WSTG, OWASP LLM Top 10), plateforme de suivi des findings, capacité à tester votre stack spécifique (cloud-native, IA, API GraphQL, mobile), qualité des rapports (exemple fourni en amont), re-test inclus, transparence sur les profils mobilisés, assurance RC professionnelle adaptée. Un bon prestataire commence par un atelier de cadrage technique avec votre CTO avant de chiffrer.
Quelle différence entre black box, grey box et white box ?
En black box, le pentester démarre sans aucune information (comme un attaquant externe) : utile pour mesurer la résistance à une attaque opportuniste mais souvent peu efficient. En grey box, il dispose de comptes utilisateurs et d’un minimum d’information (cas le plus courant et recommandé) : ratio couverture / budget optimal. En white box, il a accès au code source, aux schémas d’architecture et aux comptes privilégiés : idéal pour des périmètres critiques ou régulés où la profondeur prime sur la simulation.