Node.js
L'asynchrone cache des failles que les scanners ratent.
Une prototype pollution qui remonte jusqu'à une RCE, un opérateur Mongo injecté dans un filtre, un child_process.exec sur une entrée, un JWT en alg: none : les failles Node tiennent au détail. Je lis le code et la chaîne de dépendances, pas seulement les réponses HTTP.
Ce que couvre l'audit Node.js.
Les classes de failles les plus fréquentes sur une application Node.js réelle, testées à la main sur votre code et vos endpoints. OWASP WSTG + API Top 10, en authentifié comme en non authentifié.
Prototype pollution
merge / clone non sûrs, escalade vers déni de service ou RCE
Injection NoSQL
opérateurs Mongo injectés, $where, filtres non typés
Injection de commande
child_process.exec, arguments non échappés
SSTI & templates
Pug, EJS, Handlebars sur entrée utilisateur
JWT & autorisation
alg: none, secret faible, IDOR, contrôle d'accès
SSRF, ReDoS & dépendances
SSRF, expressions catastrophiques, chaîne d'approvisionnement npm
Quatre étapes. Prix et périmètre fixes.
De la prise de contact à l'attestation, votre audit Node.js suit une séquence claire. Vous savez toujours où vous en êtes, ce qui a été trouvé et ce qu'il reste. Prix fixe défini au cadrage.
Cadrage
Un court appel, un prix fixe, des règles d'engagement écrites. Le runtime et le périmètre sont notés ici.
~ 1 appelTest
Test manuel sur les cibles convenues, canal ouvert en direct. Le critique est signalé le jour où je le trouve.
5–10 joursRapport
Chaque faille : criticité, reproduction, impact réel, correctif concret. Plus une synthèse pour vos clients.
48 hContre-test
Vous corrigez, je vérifie et délivre une attestation propre. Inclus, pas une prestation à part.
gratuit · 30 jQuand ce test devient urgent.
Un pentest n'attend pas l'incident. Les cas les plus courants quand une équipe Node m'écrit.
- Un client grand compte exige une preuve de test avant de signer
- Une revue SOC 2 / ISO 27001 réclame un pentest annuel
- Une levée de fonds et sa due diligence technique approchent
- Une montée de version Node ou une refonte d'API change la surface
- Une dépendance npm critique compromise ou un audit de chaîne d'approvisionnement
- Un doute sur un JWT, une injection NoSQL ou une prototype pollution
Ce qu'on me demande avant de signer.
Les vraies questions d'un premier appel de cadrage sur une application Node. Si la vôtre manque, elle a sa réponse en un e-mail.
Express, NestJS ou Fastify ?
Les trois, plus Koa et les apps temps réel (WebSocket / Socket.io). Le périmètre s'adapte à votre runtime.
Analysez-vous les dépendances npm ?
Oui. La chaîne d'approvisionnement et les paquets vulnérables font partie de la surface d'attaque.
Avez-vous besoin du code ?
La boîte grise aide sur la prototype pollution et les injections, mais le test boîte noire reste possible.
TypeScript change quelque chose ?
Le typage réduit certains bugs, pas les failles de logique, d'auth ou d'injection. Le test reste tout aussi pertinent.
Comment fixez-vous le prix ?
Forfait fixe défini au cadrage, à partir du périmètre. Pas de facturation à l'heure, pas de dépassement surprise. Vous validez le prix avant que je commence.
Que se passe-t-il une fois les correctifs faits ?
Contre-test inclus, gratuit, sous 30 jours. Je revérifie chaque faille corrigée et délivre une attestation à jour, prête pour vos clients.
Qui mène votre test.
Saïd Mimouni
Pentest & audit de sécurité · applications web & API
Je teste des applications web et des API à la main, en solo, pour des startups et des agences. Vous parlez à la personne qui ouvre le terminal, du premier e-mail au contre-test.
À distance par défaut, sur place si vous préférez : je me déplace dans vos bureaux, partout en France.
Le livrable, page par page.
Correctif concret par faille, au niveau du code — pas un scan brut à retraiter. Chaque faille est reproductible et rédigée pour que vos devs Node.js la corrigent sans aller-retour. Exemple complet ci-dessous, mené sur OWASP Juice Shop, l'application volontairement vulnérable de l'OWASP.
- Synthèse exécutive lisible
- Registre noté CVSS v3.1
- Preuves d'exploitation reproductibles
- Correctif concret par faille
- Références OWASP & CWE
- Attestation transmissible
PDF · 7 pages · livrable en français ou en anglais
