Sécurité applicative
Votre code, vu par un attaquant
Nous analysons votre codebase et votre surface d'attaque, puis nous corrigeons avec vous. Trois forfaits à prix fixe, une méthode OWASP, et une expertise rare sur la sécurité des agents IA.
Surface d'attaque
Tout ce qu'un attaquant peut atteindre
Points d'entrée
API, formulaires, webhooks, interfaces d'administration.
Identités et droits
Authentification, sessions, rôles, accès entre clients.
Dépendances
Bibliothèques tierces, images Docker, services externes.
Secrets et configuration
Clés d'API, variables d'environnement, droits cloud.
Agents et LLM
Injection de prompt, fuite de données, outils trop permissifs.
Données
Données personnelles, chiffrement, journaux, sauvegardes.
Forfaits
Trois niveaux, un prix fixe
2 à 3 jours
Scan
Une photographie rapide de vos risques, pour savoir où vous en êtes.
2 900 € HT
- Cartographie de la surface d'attaque
- Analyse des dépendances vulnérables
- Recherche de secrets exposés
- Analyse statique du code (SAST)
- Rapport priorisé et restitution
5 à 8 jours
Audit
Une revue approfondie, menée par des humains, des parties critiques de votre application.
à partir de7 900 € HT
- Tout le forfait Scan
- Revue manuelle : authentification, autorisations, logique métier
- Tests ciblés des failles identifiées
- Sécurité des agents et des LLM si concerné
- Plan de remédiation chiffré
Mensuel
Accompagnement
Nous corrigeons avec vous, puis nous restons à vos côtés.
à partir de1 900 € HT / mois
- Tout le forfait Audit
- Correction des failles avec votre équipe
- Re-test après correction
- Revue de sécurité des nouvelles fonctionnalités
- Point mensuel et suivi des risques
Prix indicatifs pour une application de taille moyenne. Le périmètre exact est fixé avant tout engagement.
Méthodologie
Des référentiels reconnus, pas une boîte noire
OWASP ASVS
Le référentiel de vérification de la sécurité des applications, pour un contrôle exhaustif et reproductible.
OWASP Top 10
Les dix catégories de failles les plus exploitées sur le web, systématiquement couvertes.
OWASP Top 10 pour les LLM
Les risques propres aux applications d'IA : injection de prompt, fuite de données, agents trop autonomes.
Questions fréquentes
Ce qu'on nous demande souvent
Quelle différence avec un test d'intrusion ?
Un test d'intrusion attaque l'application de l'extérieur, sans voir le code. Nous travaillons en boîte blanche : nous lisons votre code et votre configuration, ce qui permet de trouver des failles qu'un test externe ne voit pas, et de proposer des corrections précises.
Avez-vous besoin d'accéder à notre code ?
Oui, en lecture. L'accès est encadré par un accord de confidentialité, limité à la durée de la mission et révoqué à la fin. Aucune copie n'est conservée.
Auditez-vous les applications qui utilisent des LLM ou des agents ?
Oui, c'est l'une de nos spécialités. Nous construisons nous-mêmes des agents en production et nous connaissons leurs failles : injection de prompt, fuite de données par le contexte, outils aux droits trop larges.
Le Scan suffit-il ?
Le Scan donne une vision rapide des risques les plus visibles. Pour une application qui manipule des données sensibles ou de l'argent, l'Audit est recommandé : les failles les plus graves se cachent souvent dans la logique métier, qu'aucun outil automatique ne détecte.
Savoir où vous en êtes
Un premier échange pour cadrer le périmètre et choisir le bon forfait.
Réserver un appel de 30 min