Je teste manuellement votre application, du cadrage au contre-test : contrôle d'accès, logique métier, injection. Un seul interlocuteur, avec un rapport exploitable par vos développeurs, vos clients et vos auditeurs.
Pentest manuel et approfondi de vos applications web et API : les failles de logique et d'autorisation, celles qu'aucun outil ne sait juger. OWASP WSTG + API Top 10, en authentifié comme en non authentifié.
Je teste n'importe quelle stack — Python, Go et .NET compris. Mais Ruby, JavaScript et PHP, je les pratique depuis plus de 10 ans : je sais exactement où chacun laisse traîner ses failles.
Chaque constat est vérifié, reproductible et accompagné d'un correctif concret. Le rapport peut être transmis à vos clients ou à vos auditeurs.
01 · Couverture
02 · Synthèse exécutive
03 · Registre & méthodo
04 · Faille F-01 9.1
05 · Faille F-02 8.2
06 · Faille F-03 8.1
07 · Contre-test & attestation
Saïd Mimouni
Pentest & audit de sécurité · applications web & API
Je teste des applications web et des API à la main, en solo, pour des startups et des agences. Vous parlez à la personne qui ouvre le terminal, du premier e-mail au contre-test.
Le test se mène à distance, mais si vous préférez, je peux venir travailler dans vos locaux, partout en France.
Quand je tombe sur une faille dans un composant open source, je la remonte à l'éditeur, j'attends le correctif, puis je publie. C'est le même travail que sur vos applications, sans le contrat.
spatial_featuresUn nom de fichier dans une archive uploadée suffisait à faire exécuter n'importe quelle commande au serveur. Gem Ruby, corrigée en 3.11.2.
Lire l'analyse techniquearel-extensionsUn paramètre de filtre sortait du chemin JSON et réécrivait la clause
WHERE. Gem Ruby, corrigée en 9.0.1.
De la prise de contact à l'attestation, votre pentest suit une séquence claire. Vous savez toujours où vous en êtes, ce qui a été trouvé et ce qu'il reste.
Un court appel, un prix fixe, des règles d'engagement écrites. Aucune surprise sur la facture ni en production.
Pentest manuel sur les cibles convenues, canal ouvert en direct. Le critique est signalé le jour où je le trouve.
Chaque faille : criticité, reproduction, impact réel, correctif concret. Plus une synthèse pour vos clients.
Vous corrigez, je vérifie et délivre une attestation propre. Compris dans la mission, sans supplément.
Le niveau d'accès que vous me donnez change ce que je peux atteindre, et donc ce qu'un attaquant peut atteindre. On le choisit ensemble au cadrage ; la plupart des tests se mènent en boîte grise, le meilleur rapport couverture / budget.
Je pars de rien, comme un attaquant externe qui découvre votre app depuis Internet. Ce qu'un inconnu peut casser avant même de se connecter.
Surface exposée, avant loginUn ou deux comptes utilisateur. Je teste ce qu'un client ou un employé malveillant peut vraiment atteindre : contrôle d'accès, isolation entre comptes, logique métier.
Meilleure couverture / budgetAccès complet, code source à l'appui. Revue en profondeur, rien n'est hors de vue. Pour les cibles sensibles ou une exigence de conformité forte.
Profondeur maximale, côté sourceUne évaluation ponctuelle quand vous visez un instant T, ou une couverture continue qui teste chaque release. Même testeur, même profondeur dans les deux cas.
Prestation unique à périmètre fixe sur votre application web ou votre API. Le bon choix avant un lancement, un contrat grand compte ou une revue SOC 2.
Couverture continue pour les équipes qui livrent souvent. Je teste les nouvelles fonctionnalités et releases au fil de l'eau, pour que la sécurité suive le rythme du produit.
Pas prêt pour un appel ? Décrivez votre périmètre par e-mail : contact@base16.fr
Trois cadrages que je mène régulièrement. Si l'un ressemble au vôtre, vous savez déjà à quoi ressemblera le devis.
Votre cas n'est pas exactement l'un des trois ? Vérifions-le en 30 minutes →
Un site vitrine statique, sans back-office ni données sensibles.
Un réseau interne ou des postes de travail : hors périmètre web & API.
Personne pour appliquer les correctifs, le rapport resterait dans un tiroir.
Les vraies questions d'un premier appel de cadrage. Si la vôtre manque, elle a sa réponse en un e-mail.
Souvent les mêmes mots pour la même prestation. Un pentest (test d'intrusion) cherche activement à exploiter les failles ; un audit de sécurité applicatif couvre le même périmètre. Ici, c'est un test manuel, mené par un humain, pas un scan automatisé.
5 à 10 jours de test selon le périmètre, plus 2-3 jours de rapport. La durée exacte est fixée au cadrage, pas découverte en route.
Oui si besoin, avec des règles d'engagement écrites : fenêtres convenues, rien de destructif sans accord, et je préviens avant toute action à risque.
Tests non destructifs par défaut. Je recommande une sauvegarde avant de commencer et je signale tout test sensible avant de le lancer, pas après.
C'est exactement pour ça qu'il est écrit : synthèse pour décideurs, détail technique reproductible, et une attestation signée que vous transmettez tel quel. Voir la page dédiée au pentest pour votre audit SOC 2.
Oui, sur simple demande. Vos données restent les vôtres et sont supprimées après la mission. La divulgation est coordonnée, jamais publique sans votre accord.
La même personne cadre, teste et signe votre rapport. Aucun junior lâché sur votre périmètre, aucune information perdue en passation. Le testeur vous répond en direct.
Forfait fixe défini au cadrage, à partir du périmètre. Pas de facturation à l'heure, pas de dépassement surprise. Vous validez le prix avant que je commence.
Contre-test inclus, gratuit, sous 30 jours. Je revérifie chaque faille corrigée et délivre une attestation à jour. Pas une prestation facturée à part.
Dites-moi ce qu'il faut tester et votre échéance. Je vous réponds sous 24 h ouvrées avec les prochaines étapes et, si le périmètre est assez précis, un prix fixe.
Le cadrage passe par un questionnaire de deux minutes.