Tests de sécurité et d'intrusion web à la portée de votre structure.
Fuites de données, attaques automatisées en continu : les petites structures n'y échappent pas. Et l'IA accélère encore le rythme — une faille connue peut être exploitée dès le jour de sa publication. Un pare-feu ou une extension de sécurité ne dit pas ce qu'un attaquant peut réellement découvrir de votre site. Je teste votre exposition avant lui.
Des tests adaptés à votre niveau de risque
Deux façons de travailler ensemble : acheter un test au forfait, ou ne payer que les failles trouvées.
| Au forfait | Au résultat | |
|---|---|---|
| Vous payez | Un prix défini à l'avance | Un cadrage, puis uniquement les failles validées |
| Vous recevez | Un rapport et des recommandations, quoi qu'on trouve | Une récompense par faille, dans une enveloppe plafonnée |
| Votre budget | Connu dès le départ | Plafonné, mais variable selon les résultats |
| Pour qui | Un besoin de test et un budget fixe | Un périmètre déjà connu, idéalement après un premier test |
Au forfait
Toutes les entreprises n'ont pas besoin du même niveau de test. On commence par le niveau pertinent, puis on va plus loin lorsque les résultats ou les enjeux le justifient.
Diagnostic d'exposition
Ce qu'un attaquant peut déjà savoir sur vous — reconnaissance passive et fingerprinting léger, avec une interaction équivalente à celle d'un visiteur.
- Recherche OSINT : fuites, informations publiques, empreinte numérique
- Identification des technologies, CMS et versions exposés, sans test de vulnérabilités
- Rapport synthétique des points d'attention
Surface d'attaque
Recherche des vulnérabilités potentielles sur vos services exposés, sites web et API, sans les exploiter.
- Identification précise des services, versions et technologies exposés, y compris vos API
- Recherche des vulnérabilités connues associées (sans exploitation)
- Priorisation de ce qui mérite un test d'exploitation approfondi
Test offensif
Le cœur du test : validation et exploitation maîtrisée des vulnérabilités identifiées, preuve à l'appui, avec un plan de remédiation concret.
- Tests manuels approfondis du site web et des API (authentification, droits d'accès, validation des entrées), exploitation maîtrisée
- Preuve reproductible pour chaque faille confirmée
- Restitution priorisée avec plan de remédiation
Au résultat — Bug bounty privé
Vous définissez avec moi un périmètre, une durée et une enveloppe de récompenses. Après le cadrage au forfait, je ne suis rémunéré que pour les failles validées.
Un cadrage au forfait
Le périmètre est écrit noir sur blanc avant le premier test.
- Périmètre technique et fonctionnel : site, API, comptes de test
- Durée limitée et règles d'engagement signées
- Forfait de cadrage payé d'avance
Une récompense par faille
Vous ne payez les résultats que lorsqu'ils existent.
- Barème fixé à l'avance selon la gravité (score CVSS)
- Minimum garanti par faille validée
- Enveloppe plafonnée : vous maîtrisez votre budget
Des règles claires
Pas de zone d'ombre sur ce qui compte comme une faille.
- Critères de validation objectifs et reproductibles
- Délais de réponse définis des deux côtés
- Arbitrage prévu en cas de désaccord
Pensé pour les structures dont le périmètre est connu, idéalement après un Diagnostic ou une Surface d'attaque.
Ce que vous risquez réellement
Boutique en ligne : fuite des commandes et des données clients, accès à l'administration, détournement du paiement. Site communautaire ou associatif : fuite des listes de membres et de leurs mots de passe, comptes pris en main, hameçonnage envoyé en votre nom. Site vitrine : mise hors service, visiteurs redirigés vers un site frauduleux, déclassement par les moteurs de recherche. Dans tous les cas : obligations légales (notification à la CNIL sous 72 h selon la gravité), activité interrompue et perte de confiance de vos clients ou adhérents.
Questions fréquentes
Les réponses aux questions les plus fréquentes.
C'est quoi la cybersécurité offensive ?
C'est tester la sécurité d'un site ou d'un système comme le ferait un attaquant, mais avec votre accord écrit et dans un cadre défini. L'objectif : trouver les failles avant quelqu'un de malveillant, prouver qu'elles existent et vous indiquer comment les corriger. Le test d'intrusion en est la forme la plus aboutie.
Un petit site est-il vraiment concerné ?
Oui. Les attaques sont automatisées et visent tout ce qui est exposé, quelle que soit la taille de la structure. Une boutique en ligne, un site associatif ou un site vitrine peuvent être piratés, détournés ou rendus indisponibles.
Une autorisation est-elle nécessaire avant les tests ?
Oui, toujours, et par écrit. Je ne commence aucun test avant que vous ayez signé un document qui définit précisément le périmètre, les méthodes autorisées et interdites, et les contacts d'urgence. Si vos systèmes sont hébergés ou protégés par un tiers (hébergeur, CDN, WAF), son accord peut aussi être nécessaire.
Un site peut-il être endommagé pendant les tests ?
Les tests sont encadrés : périmètre écrit, débit limité, arrêt immédiat en cas d'impact constaté. Je recommande une sauvegarde récente avant de démarrer. Un risque résiduel de lenteur ou d'indisponibilité temporaire ne peut jamais être exclu totalement ; je vous l'explique avant la signature.
Boîte noire, grise, blanche : quelle différence ?
- Boîte noire : je ne sais rien de vous, comme un attaquant externe.
- Boîte grise : vous me donnez quelques informations (périmètre, compte de test, documentation d'API).
- Boîte blanche : vous me donnez un accès étendu (comptes, informations techniques), ce qui permet d'aller plus en profondeur.
Plus j'ai d'informations, plus le test est approfondi. Chaque formule se place à un endroit différent de cette échelle.
Quelle formule choisir ?
Si vous hésitez, commencez par le Diagnostic d'exposition : il montre ce qu'un attaquant peut déjà savoir de vous et indique s'il faut aller plus loin. Le Test offensif se fait sur devis, selon ce que les premières formules ont révélé.
Le bug bounty privé, c'est quoi ?
Un bug bounty est un programme où l'on récompense celui qui trouve une faille. Les grandes entreprises passent par des plateformes publiques. En version privée, vous ne travaillez qu'avec moi : un seul testeur identifié, un périmètre et des règles signés, une enveloppe plafonnée. Vous ne payez que les failles validées après le cadrage. Je ne garantis pas d'en trouver : seule ma rémunération dépend du résultat.
Pourquoi faire appel à un expert indépendant ?
- Proximité : je suis basé en Corse, joignable directement, avec un présentiel possible sur l'île et des missions à distance partout en France.
- Un seul interlocuteur : celui qui fait le test est celui qui vous répond.
- Travail manuel : j'utilise des outils pour explorer, mais je vérifie et prouve chaque faille à la main, sans rapport de scanner automatique.
- Données isolées : vos données sont traitées sur un poste de travail dédié, sans outil cloud.
Que deviennent les données rencontrées pendant un test ?
Je m'interdis de lire ou de copier des données au-delà de la preuve minimale d'une faille. Elles sont traitées sur un poste de travail dédié, sans outil cloud, selon ma politique RGPD, et la confidentialité est contractuelle. Je vous préviens sous 24 heures de toute violation de données.
Combien de temps dure une mission, et que faut-il fournir ?
La durée dépend du périmètre et de la formule : nous la fixons ensemble au cadrage. Pour démarrer, j'ai surtout besoin de votre nom de domaine, de la liste des sites ou API concernés, d'un contact technique et, selon la formule, de comptes de test. Et de votre autorisation signée.
Que reçoit-on à la fin, et que se passe-t-il ensuite ?
Un rapport confidentiel avec les constats classés par gravité et des recommandations priorisées, présenté en visio ou en présentiel en Corse. Si certaines failles méritent d'aller plus loin, je vous propose la formule suivante.
Bientôt disponible — contactez-moi dès maintenant
Mon activité démarre prochainement. Site web, boutique en ligne, API, serveur exposé ou projet avant mise en production : écrivez-moi pour échanger sur votre besoin ou être prévenu dès l'ouverture.
Basé en Corse — missions à distance partout en France, présentiel possible sur l'île.
Maurice Scavazzin — Expert Indépendant
Cybersécurité offensive · Tests & diagnostics de sécurité
Profil IT senior confirmé
Près de 35 ans d'expérience informatique, de l'infrastructure au développement, en France et à l'international, en tant qu'ingénieur, chef de projet et responsable des opérations IT.
IBM France, IBM Labs (USA), Groupe Renault, Cap Gemini, Société Générale Investment Banking, Schneider Automation, Schneider Electric.
Certifications et parcours cybersécurité : TryHackMe (THM) SEC0/SEC1/SEC101 + THM PT1, Internetwork Expert (INE) eJPT. Méthodologie OWASP PTES/WSTG.