# Votre premier pentest

> De l'inscription au rapport : créer le compte, enregistrer l'application, prouver le domaine, rédiger la Guidance, lancer le pentest, lire les résultats et préparer les retests.

Ce tutoriel suit un pentest externe complet d'une application `https://app.exemple.fr`. Comptez une quinzaine de minutes de préparation ; la durée du test dépend ensuite de l'application et de la file d'exécution.

## Avant de commencer

- Vous contrôlez le domaine de l'application (accès au serveur web ou à la zone DNS).
- Vous êtes autorisé à faire tester cette application : vous en êtes propriétaire ou vous détenez une autorisation écrite et préalable de son propriétaire, valable pendant toute la durée du test.
- L'application est joignable depuis Internet en HTTP(S) sur une adresse IPv4.

## 1. Créer le compte

1. Ouvrez la page d'inscription et confirmez votre adresse e-mail.
2. À la première connexion, SpectrAI vous propose une seule fois un second facteur : application d'authentification, code par e-mail, ou plus tard. Il n'est jamais imposé à un client ; vous pourrez l'activer depuis [Mon compte](https://docs.spectr-ai.eu/compte-et-securite/connexion-et-second-facteur).
3. Une inscription directe crée un espace client rattaché à l'agence maison SpectrAI. Il est approuvé automatiquement si la vente du catalogue est ouverte à l'inscription ; sinon, une page d'attente l'explique jusqu'à l'approbation par un opérateur.

Si vous avez reçu une invitation (d'un collègue ou d'un cabinet partenaire), suivez simplement son lien : elle garde son propre parcours.

## 2. Enregistrer l'application

1. Dans **Cibles**, choisissez **Ajouter une cible**.
2. Saisissez l'URL exacte de l'application, par exemple `https://app.exemple.fr`.

L'URL exacte est le point de départ du périmètre. Vous pourrez ajouter d'autres URL HTTPS sous le domaine vérifié et des exclusions explicites dans la fiche de la cible ; rien n'est ajouté par découverte pendant le test.

## 3. Prouver le contrôle du domaine

1. Choisissez une méthode : fichier HTTPS sur l'origine exacte, ou enregistrement DNS TXT sur le domaine parent.
2. Publiez le code fourni, puis lancez la vérification.

Le code est valable 72 heures ; la preuve acceptée reste valable 90 jours. Le détail, y compris les causes d'échec, est dans [Vérifier le domaine](https://docs.spectr-ai.eu/pentest-externe/verifier-le-domaine).

## 4. Rédiger la Guidance

La Guidance s'ouvre une fois le domaine vérifié. Partez d'un modèle (SaaS, e-commerce, API, site web), puis décrivez la surface d'attaque, les priorités, la stratégie et les techniques interdites, les exigences de preuve et les conditions d'arrêt ; joignez vos documents OpenAPI, Swagger ou Postman. Publiez la Guidance : chaque pentest part de la version active. Voir [Rédiger la Guidance](https://docs.spectr-ai.eu/pentest-externe/guidance).

## 5. Commander

L'achat se fait depuis la fiche de l'application, une fois la preuve de contrôle valide et la Guidance active. Choisissez un pentest ponctuel ou un programme annuel, puis réglez par carte sur la page de paiement hébergée. Les droits s'ouvrent à la confirmation du paiement. Voir [Commander une évaluation](https://docs.spectr-ai.eu/offres-et-commandes/commander).

## 6. Préparer et lancer le pentest

1. Dans **Pentests**, choisissez **Préparer un pentest** et sélectionnez la cible.
2. Choisissez et ordonnez les URL autorisées, fournissez si nécessaire des comptes de test dédiés et réglez les garde-fous (chemins exclus, débit, mode prudent, fenêtre de démarrage).
3. Lisez et acceptez les cinq attestations d'autorisation.
4. Lancez. Une évaluation disponible est débitée ; un retest valide ne l'est pas.

Voir [Lancer un pentest](https://docs.spectr-ai.eu/pentest-externe/lancer-un-pentest).

## 7. Suivre l'activité

La page du pentest montre ses phases, sa durée, l'heure de fin au plus tard, le plan de tests et les surfaces testées. Vous pouvez annuler ; une reprise n'est proposée que si la mission y est éligible. Voir [Pendant le test](https://docs.spectr-ai.eu/pentest-externe/pendant-le-test) et [Suivre l'activité](https://docs.spectr-ai.eu/pentest-externe/suivre-l-activite).

## 8. Lire les résultats

À la fin, les findings prouvés, leurs preuves HTTP expurgées et les chemins d'attaque apparaissent dans **Vulnérabilités** et dans la page du pentest. Le rapport final est publié automatiquement dans **Rapports**, téléchargeable en PDF et partageable par un lien révocable.

## 9. Corriger et faire retester

Corrigez, puis préparez un lot de retests depuis les findings concernés : deux lots sont inclus dans les soixante jours suivant le rapport. Voir [Retests de correction](https://docs.spectr-ai.eu/resultats/retests).

> [!TIP]
> Avant de commander, lisez un [exemple de rapport](https://spectr-ai.eu/exemple-de-rapport) : il montre exactement la forme des livrables que vous recevrez.

---

https://docs.spectr-ai.eu/demarrer/premier-pentest