Pentest d'application web : périmètre et points de contrôleWeb application pentest: scope and control points

Une application web concentre des règles métier, des données personnelles et des contrôles d'accès écrits sur mesure. Contrairement à une infrastructure, la majorité des faiblesses n'y proviennent pas de composants obsolètes mais de la logique implémentée : un contrôle réalisé côté client, une habilitation vérifiée sur un écran mais pas sur l'appel qui le sert, un identifiant prévisible.A web application concentrates business rules, personal data and access controls written specifically for it. Unlike infrastructure, most weaknesses do not stem from outdated components but from the logic implemented: a check performed client-side, an authorisation verified on a screen but not on the call that serves it, a predictable identifier.

Authentification, session et gestion des habilitationsAuthentication, session and authorisation handling

Le premier bloc évalue la manière dont l'application reconnaît un utilisateur et lui attribue des droits : robustesse du processus d'authentification et de sa réinitialisation, gestion du cycle de vie des sessions, cloisonnement entre profils, et surtout vérification systématique des droits côté serveur. Les défauts de contrôle d'accès figurent parmi les catégories de risques les plus régulièrement observées sur les applications, et ils ne sont pas détectables par un scan automatisé.The first block assesses how the application recognises a user and grants rights: robustness of the authentication process and its reset flow, session lifecycle management, separation between profiles, and above all systematic server-side verification of permissions. Access control failures are among the most consistently observed risk categories in applications, and they cannot be detected by an automated scan.

Processus d'authentification et parcours de réinitialisation du mot de passe

Cycle de vie des sessions, expiration et invalidation effective

Vérification des droits côté serveur sur chaque appel, pas seulement à l'affichage

Cloisonnement entre profils et entre organisations sur les applications multi-clients

Authentication process and password reset journey

Session lifecycle, expiry and effective invalidation

Server-side permission checks on every call, not only at display time

Separation between profiles and tenants in multi-customer applications

Traitement des entrées, API et composants tiersInput handling, APIs and third-party components

Le deuxième bloc couvre la façon dont l'application traite ce qu'elle reçoit : validation des entrées, séparation entre données et instructions, gestion des fichiers déposés, et comportement des interfaces de programmation qui servent l'application. Les API constituent aujourd'hui une part majeure de la surface, souvent moins testée que l'interface visible. S'y ajoutent la chaîne de dépendances et les composants tiers, dont l'inventaire et le suivi de version conditionnent la réactivité en cas de publication d'une faiblesse.The second block covers how the application handles what it receives: input validation, separation between data and instructions, uploaded file handling, and the behaviour of the programming interfaces serving the application. APIs now form a major part of the surface, often tested less than the visible interface. Add the dependency chain and third-party components, whose inventory and version tracking determine responsiveness when a weakness is published.

Validation des entrées et séparation entre données et instructions

Traitement des fichiers déposés et des contenus importés

Couverture explicite des API, y compris celles non documentées publiquement

Inventaire des dépendances et suivi des versions des composants tiers

Input validation and separation between data and instructions

Handling of uploaded files and imported content

Explicit API coverage, including interfaces not publicly documented

Dependency inventory and version tracking for third-party components

Préparer la mission pour en tirer le maximumPreparing the engagement to get the most from it

Trois éléments changent la productivité d'un test applicatif : un environnement de recette représentatif avec des données réalistes mais non réelles, un jeu de comptes couvrant chaque profil d'habilitation, et une description des parcours métier sensibles. Sans cela, une part importante du temps sert à reconstituer le fonctionnement de l'application. S2I Consulting cadre ces prérequis avant le démarrage, sous mandat écrit et périmètre défini, puis restitue un rapport priorisé par risque réel avec un contre-test après correction.Three elements change the productivity of an application test: a representative staging environment with realistic but non-real data, a set of accounts covering every authorisation profile, and a description of the sensitive business journeys. Without them, a large share of the time goes into reconstructing how the application works. S2I Consulting frames these prerequisites before kick-off, under written authorisation and defined scope, then delivers a report prioritised by real risk with a retest after remediation.

Environnement de recette représentatif, avec des données réalistes non réelles

Un compte par profil d'habilitation, fourni dès le démarrage

Description des parcours métier les plus sensibles

S2I livre un rapport priorisé et un contre-test après correction

A representative staging environment with realistic, non-real data

One account per authorisation profile, supplied at kick-off

A description of the most sensitive business journeys

S2I delivers a prioritised report and a retest after remediation

Repères de configurationConfiguration guidance

Approche recommandéeRecommended approachBoîte grise avec comptes de test

Bloc 1Block 1Authentification, session, habilitations

Bloc 2Block 2Traitement des entrées et fichiers

Bloc 3Block 3API et composants tiers

EnvironnementEnvironmentRecette représentative, données non réelles

PrérequisPrerequisiteUn compte par profil d'habilitation

SuiviFollow-upRapport priorisé + contre-test

Repères indicatifs : la configuration finale est validée avec vous selon vos contraintes réelles (charge, budget, environnement).Indicative guidance: the final configuration is validated with you against your real constraints (workload, budget, environment).

Questions fréquentesFrequently asked questions

Peut-on tester directement en production ?Can testing be performed directly in production?

C'est possible mais contraignant : il faut exclure les actions susceptibles d'altérer des données réelles, ce qui réduit la couverture. Un environnement de recette fidèle reste préférable, la production étant réservée aux vérifications d'exposition.It is possible but constraining: actions liable to alter real data must be excluded, which reduces coverage. A faithful staging environment remains preferable, with production reserved for exposure checks.

Faut-il tester à chaque mise en production ?Should you test at every release?

Non. Une campagne complète se justifie sur une version majeure ou un changement d'architecture. Entre deux campagnes, les revues de code, les tests automatisés et l'analyse des dépendances assurent la continuité à un coût bien moindre.No. A full campaign is justified for a major version or an architecture change. Between campaigns, code reviews, automated testing and dependency analysis provide continuity at a much lower cost.

Comment gérer les données personnelles en environnement de test ?How should personal data be handled in a test environment?

En évitant d'y copier des données réelles. Des jeux de données réalistes mais synthétiques donnent le même niveau de couverture sans créer une exposition supplémentaire ni de nouvelle obligation de protection à documenter.By avoiding copies of real data. Realistic but synthetic datasets provide the same coverage without creating additional exposure or a new protection obligation to document.

Un besoin précis à chiffrer ?A specific need to quote?

Décrivez votre contexte : nous revenons sous 24 à 72 heures avec une approche et un devis.Tell us your context: we come back within 24-72 hours with an approach and a quote.

Parler à un expertTalk to an expert Voir nos expertisesSee our expertise