# Lancer un pentest

> Préparer un pentest sur une cible vérifiée : choisir et ordonner les URL autorisées, fournir les comptes de test, régler les garde-fous, accepter les cinq attestations, lancer, et comprendre ce qui est débité.

## Prérequis

- Une cible avec une preuve de contrôle valide et une Guidance active.
- Une évaluation disponible (pentest ponctuel ou programme annuel), ou un lot de retests pour un retest.
- Le rôle administrateur ou membre dans l'espace client.

## Le périmètre de la cible

La fiche de la cible liste les **URL et sous-domaines** autorisés : l'URL exacte enregistrée, plus les URL HTTPS que vous ajoutez sous le domaine vérifié. Elle accepte aussi des **exclusions explicites** : des chemins ou hôtes HTTPS qui doivent rester hors du pentest. Rien n'est ajouté au périmètre par découverte pendant le test.

## Préparer

1. Dans **Pentests**, choisissez **Préparer un pentest**, puis la cible.
2. Choisissez et ordonnez les URL autorisées : l'ordre indique vos priorités.
3. Fournissez si nécessaire des comptes de test dédiés (voir [Rédiger la Guidance](https://docs.spectr-ai.eu/pentest-externe/guidance)).
4. Réglez, si vous le souhaitez, les **garde-fous** : chemins exclus (une consigne de test, sans blocage réseau), débit maximal demandé (de 1 à 50 requêtes par seconde, sans garantie réseau), mode prudent pour la production (opérations de lecture et données de test privilégiées ; des modifications restent possibles), et fenêtre de démarrage (jours, heures, fuseau), seule limite imposée par la plateforme.
5. Vérifiez la Guidance qui sera utilisée : c'est la version active de la cible.

Le brouillon est conservé : vous pouvez revenir le compléter.

## Attester l'autorisation

Avant le lancement, vous attestez, au nom de votre organisation :

1. que vous êtes habilité à l'engager et à autoriser ce test ;
2. qu'elle est propriétaire des adresses testées ou détient l'autorisation écrite et préalable de leur propriétaire, valable pendant toute la durée du test ;
3. que, lorsque c'est nécessaire, l'accord des tiers concernés (hébergeur, fournisseur cloud ou SaaS, CDN, pare-feu applicatif) a été obtenu et que leurs règles de test sont respectées ;
4. que vous comprenez que le test peut créer ou modifier des données de test, déclencher des alertes de sécurité ou ralentir temporairement l'application, et que des sauvegardes récentes existent ;
5. qu'elle répond de l'exactitude de cette autorisation, en fournira la preuve écrite sur demande et accepte que le test soit suspendu à tout moment.

> [!IMPORTANT]
> Cette attestation affichée au lancement ne remplace pas une autorisation juridique signée distincte entre vous et le propriétaire de l'application. Conservez cette autorisation de votre côté.

## Lancer

Au lancement, SpectrAI revérifie en base le tenant, le rôle, le quota, la cible, la fraîcheur de la preuve (moins de 5 minutes), la Guidance, les URL et l'état du pentest, puis met la mission en file. Une évaluation disponible est débitée à ce moment ; un retest valide n'en débite aucune.

La plateforme exécute les pentests l'un après l'autre : le vôtre peut attendre son tour. La page du pentest indique sa phase.

## Ce qui est débité, ce qui est rendu

| Situation | Effet sur l'évaluation |
|---|---|
| Lancement d'un pentest complet | Une évaluation est consommée |
| Lancement d'un retest de correction | Aucune évaluation ; le lot de retests est utilisé |
| Annulation avant le démarrage effectif | L'évaluation est rendue |
| Échec pour une cause plateforme, sans rapport publié ni reprise possible | L'évaluation est rendue |
| Rapport publié | L'évaluation est consommée |
| Perte du relais pendant un scan interne | Rien n'est rendu : la relance est couverte |

## Pentests planifiés

Depuis la fiche de la cible, vous pouvez planifier un pentest récurrent, chaque mois ou chaque trimestre, avec son niveau, son périmètre et sa date de premier lancement, en acceptant l'autorisation pour chaque lancement du planning. Une évaluation est débitée à chaque lancement ; un rappel est envoyé 3 jours avant. Le planning se met en pause, avec notification, si aucune évaluation n'est disponible, si la preuve de contrôle a expiré, si la Guidance manque ou si l'autorisation n'est plus valable. Les pentests planifiés ne reçoivent aucun compte de test.

## Après le lancement

Ce qui se passe sur votre application est décrit dans [Pendant le test](https://docs.spectr-ai.eu/pentest-externe/pendant-le-test) ; la progression dans [Suivre l'activité](https://docs.spectr-ai.eu/pentest-externe/suivre-l-activite).

---

https://docs.spectr-ai.eu/pentest-externe/lancer-un-pentest