# Pendant le test

> Ce qui se passe sur votre application pendant un pentest SpectrAI : trafic réel, données de test, alertes, pare-feu et CDN, environnement recommandé, techniques interdites et ce que les garde-fous garantissent ou non.

## Du trafic réel sur votre application

Les agents envoient de vraies requêtes HTTP(S) aux URL autorisées, avec les comptes de test fournis : navigation, formulaires, API, enchaînements d'actions. Un test peut donc :

- créer ou modifier des données de test (comptes, enregistrements, fichiers) ;
- déclencher les alertes de vos outils de sécurité et remplir vos journaux ;
- ralentir temporairement l'application.

C'est l'objet de l'attestation acceptée au lancement, et la raison pour laquelle des sauvegardes récentes doivent exister.

## Choisir l'environnement

Un environnement de recette isolé, alimenté en données de test, est recommandé : il évite les effets de bord sur vos données réelles et sur vos clients. Si vous testez la production, activez le **mode prudent** dans les garde-fous du pentest (opérations de lecture et données de test privilégiées ; des modifications restent possibles) et évitez les parcours qui envoient des messages ou des paiements réels en les plaçant dans les exclusions et dans les techniques interdites de la Guidance.

## Pare-feu applicatif, CDN et limitation de débit

Les protections en amont (pare-feu applicatif, CDN, anti-bot, limitation de débit) voient le trafic de test comme du trafic d'attaque. Elles peuvent bloquer les agents, et le rapport ne couvre alors que ce qui a été atteint. Avant de lancer :

- obtenez l'accord des tiers concernés et respectez leurs règles de test (c'est l'un des points de l'attestation) ;
- si votre application filtre par adresse IP ou par règle de pare-feu, écrivez-nous depuis la [page de contact](https://spectr-ai.eu/contact?request=pentest) avant le lancement pour convenir du passage ;
- indiquez dans la Guidance les protections en place : les agents les prennent en compte.

Le **débit maximal demandé** (de 1 à 50 requêtes par seconde) est une consigne de test ; il n'est pas garanti au niveau réseau.

## Techniques interdites

La Guidance porte une liste de techniques interdites, préremplie avec : déni de service, suppression de données, envoi de messages ou de paiements réels, accès à des services tiers hors périmètre. Complétez-la selon votre contexte. Les agents la respectent comme une consigne ; le confinement réseau reste celui du périmètre autorisé.

## Ce qui est borné par la plateforme

| Élément | Nature |
|---|---|
| Périmètre | Les URL autorisées en externe, le mandat en interne : une destination hors périmètre est refusée avant d'être contactée. |
| Fenêtre de démarrage | Imposée par la plateforme : le pentest ne démarre que dans les jours et heures choisis. |
| Durée et consommation | Limites internes gérées par SpectrAI ; la page du pentest indique l'heure de fin au plus tard. |
| Chemins exclus, débit, mode prudent | Consignes de test, sans blocage réseau. |

## Comptes de test pendant l'exécution

Les comptes de test transitent en clair dans le moteur de test et le modèle qui le pilote pendant l'exécution, puis sont expurgés des preuves et purgés. Révoquez-les après le test.

## Arrêter un test

Vous pouvez annuler un pentest à tout moment depuis sa page ; l'évaluation est rendue seulement s'il n'avait pas encore effectivement démarré. Un site interne peut aussi révoquer son mandat, ce qui arrête les tests en cours sur ce site sans publier leurs résultats.

## Ce que SpectrAI ne fait pas

- Aucune liste publique d'adresses IP source n'est fournie : convenez du passage avec nous si vous filtrez par adresse.
- Aucune promesse de couverture exhaustive ni d'absence de faux positifs : seules les faiblesses démontrées sont publiées, et un retest ne vérifie pas un correctif.

---

https://docs.spectr-ai.eu/pentest-externe/pendant-le-test