Concepts clés

Le modèle en une image#

Agence (cabinet partenaire, ou l'agence maison SpectrAI)
└── Espace client (la frontière entre clients)
    └── Cible (une application, enregistrée une fois)
        ├── Preuve de contrôle (fichier HTTPS ou enregistrement DNS TXT)
        ├── Guidance (contexte réutilisable d'un test à l'autre)
        └── Pentest (une mission datée)
            └── Tentative(s) (exécution initiale, puis reprise éventuelle)
                ├── activité en direct
                ├── findings et preuves
                ├── chemins d'attaque dérivés
                └── rapport figé

Une cible n'est pas un pentest : une application est enregistrée une fois et peut être testée plusieurs fois. Une reprise crée une nouvelle tentative sur la même mission.

Cible#

Une cible est une application web nommée par son URL exacte (par exemple https://app.exemple.fr), avec ses API associées. Sa fiche liste les URL HTTPS autorisées sous le domaine vérifié et les exclusions explicites. Elle appartient à un espace client. Les adresses IP nues ne sont pas des cibles.

Preuve de contrôle#

Avant tout pentest externe, vous prouvez que vous contrôlez le domaine de la cible, par un fichier publié en HTTPS sur l'origine exacte ou par un enregistrement DNS TXT sur le domaine parent. Le code de vérification est valable 72 heures ; une preuve acceptée reste valable 90 jours. Voir Vérifier le domaine.

Pour un scan interne, c'est l'autorisation de test posée sur le site (le mandat : nom d'hôte, sous-domaines éventuels, ports HTTPS, durée) qui joue ce rôle. Voir Le mandat de test.

Guidance#

La Guidance est le contexte que vous donnez aux agents : surface d'attaque, priorités, stratégie, règles de validation, documents d'API et comptes de test. Elle est versionnée ; chaque pentest part de la Guidance active de sa cible. Elle ne peut jamais élargir les URL vérifiées. Voir Rédiger la Guidance.

Pentest et tentative#

Un pentest est une mission datée sur une cible, avec ses URL autorisées ordonnées et, si besoin, des comptes de test. Son exécution est une tentative. Si une tentative s'interrompt pour une cause éligible, une reprise crée une seconde tentative sur la même mission. Seuls les résultats de la dernière tentative réussie, complète et cohérente vous sont présentés.

Findings et preuves#

Un finding est une faiblesse démontrée. Il porte une sévérité (CVSS), une classification (CWE), une description, un impact, une recommandation et ses preuves : requêtes et réponses HTTP expurgées, preuve de concept ou artefacts. Ce qui n'a pas été démontré n'est pas publié. Voir Findings et preuves.

Chemins d'attaque#

Les findings prouvés sont reliés en chemins d'attaque, avec la provenance de chaque étape. Ils sont dérivés des preuves ; ils n'ajoutent aucune hypothèse. Voir Chemins d'attaque.

Rapport#

Le rapport est un instantané figé d'un pentest terminé : données, marque et limites y sont fixées au moment de la publication. Il est publié automatiquement, même sans finding, et s'exporte en PDF. Voir Le rapport.

Lots de retests#

Après chaque rapport, deux lots de retests de correction sont inclus pendant soixante jours. Un lot regroupe les corrections que vous souhaitez faire vérifier. Voir Retests de correction.

Évaluation#

Une évaluation est le droit de lancer un pentest complet. Un pentest ponctuel en contient une ; un programme annuel en contient deux sur douze mois. Les lots de retests sont distincts des évaluations. Voir Le catalogue.

Espace client, agence, console#

Un espace client isole les données d'un client. Une agence (cabinet partenaire) gère plusieurs espaces clients depuis sa console et entre dans un espace pour y travailler comme le client lui-même. Les clients directs sont rattachés à l'agence maison SpectrAI. Voir Console et espaces clients.