Votre premier pentest

Ce tutoriel suit un pentest externe complet d'une application https://app.exemple.fr. Comptez une quinzaine de minutes de préparation ; la durée du test dépend ensuite de l'application et de la file d'exécution.

Avant de commencer#

• Vous contrôlez le domaine de l'application (accès au serveur web ou à la zone DNS).
• Vous êtes autorisé à faire tester cette application : vous en êtes propriétaire ou vous détenez une autorisation écrite et préalable de son propriétaire, valable pendant toute la durée du test.
• L'application est joignable depuis Internet en HTTP(S) sur une adresse IPv4.

1. Créer le compte#

1. Ouvrez la page d'inscription et confirmez votre adresse e-mail.
2. À la première connexion, SpectrAI vous propose une seule fois un second facteur : application d'authentification, code par e-mail, ou plus tard. Il n'est jamais imposé à un client ; vous pourrez l'activer depuis Mon compte.
3. Une inscription directe crée un espace client rattaché à l'agence maison SpectrAI. Il est approuvé automatiquement si la vente du catalogue est ouverte à l'inscription ; sinon, une page d'attente l'explique jusqu'à l'approbation par un opérateur.

Si vous avez reçu une invitation (d'un collègue ou d'un cabinet partenaire), suivez simplement son lien : elle garde son propre parcours.

2. Enregistrer l'application#

1. Dans Cibles, choisissez Ajouter une cible.
2. Saisissez l'URL exacte de l'application, par exemple https://app.exemple.fr.

L'URL exacte est le point de départ du périmètre. Vous pourrez ajouter d'autres URL HTTPS sous le domaine vérifié et des exclusions explicites dans la fiche de la cible ; rien n'est ajouté par découverte pendant le test.

3. Prouver le contrôle du domaine#

1. Choisissez une méthode : fichier HTTPS sur l'origine exacte, ou enregistrement DNS TXT sur le domaine parent.
2. Publiez le code fourni, puis lancez la vérification.

Le code est valable 72 heures ; la preuve acceptée reste valable 90 jours. Le détail, y compris les causes d'échec, est dans Vérifier le domaine.

4. Rédiger la Guidance#

La Guidance s'ouvre une fois le domaine vérifié. Partez d'un modèle (SaaS, e-commerce, API, site web), puis décrivez la surface d'attaque, les priorités, la stratégie et les techniques interdites, les exigences de preuve et les conditions d'arrêt ; joignez vos documents OpenAPI, Swagger ou Postman. Publiez la Guidance : chaque pentest part de la version active. Voir Rédiger la Guidance.

5. Commander#

L'achat se fait depuis la fiche de l'application, une fois la preuve de contrôle valide et la Guidance active. Choisissez un pentest ponctuel ou un programme annuel, puis réglez par carte sur la page de paiement hébergée. Les droits s'ouvrent à la confirmation du paiement. Voir Commander une évaluation.

6. Préparer et lancer le pentest#

1. Dans Pentests, choisissez Préparer un pentest et sélectionnez la cible.
2. Choisissez et ordonnez les URL autorisées, fournissez si nécessaire des comptes de test dédiés et réglez les garde-fous (chemins exclus, débit, mode prudent, fenêtre de démarrage).
3. Lisez et acceptez les cinq attestations d'autorisation.
4. Lancez. Une évaluation disponible est débitée ; un retest valide ne l'est pas.

Voir Lancer un pentest.

7. Suivre l'activité#

La page du pentest montre ses phases, sa durée, l'heure de fin au plus tard, le plan de tests et les surfaces testées. Vous pouvez annuler ; une reprise n'est proposée que si la mission y est éligible. Voir Pendant le test et Suivre l'activité.

8. Lire les résultats#

À la fin, les findings prouvés, leurs preuves HTTP expurgées et les chemins d'attaque apparaissent dans Vulnérabilités et dans la page du pentest. Le rapport final est publié automatiquement dans Rapports, téléchargeable en PDF et partageable par un lien révocable.

9. Corriger et faire retester#

Corrigez, puis préparez un lot de retests depuis les findings concernés : deux lots sont inclus dans les soixante jours suivant le rapport. Voir Retests de correction.