PHP
PHP pardonne peu. Le test doit être précis.
Un == au lieu de ===, un unserialize sur une entrée, un include dynamique, une clé APP_KEY exposée en debug : les failles PHP sont concrètes et bien documentées. Je les cherche là où elles vivent, pas dans un rapport générique.
Ce que couvre l'audit PHP.
Les classes de failles les plus fréquentes sur une application PHP réelle, testées à la main sur votre code et vos endpoints. OWASP WSTG + API Top 10, en authentifié comme en non authentifié.
Injection SQL
requêtes concaténées, PDO mal employé, ORM contourné
Désérialisation & type juggling
unserialize, chaînes POP, comparaisons == permissives
LFI / RFI & traversée
include dynamique, path traversal, wrappers php://
Upload de fichiers
extension/content-type contournés, exécution de .php
Exécution de commande
system, exec, eval, preg_replace dangereux
Framework & config
Laravel APP_KEY / debug, Symfony, plugins WordPress
Quatre étapes. Prix et périmètre fixes.
De la prise de contact à l'attestation, votre audit PHP suit une séquence claire. Vous savez toujours où vous en êtes, ce qui a été trouvé et ce qu'il reste. Prix fixe défini au cadrage.
Cadrage
Un court appel, un prix fixe, des règles d'engagement écrites. La stack et le périmètre sont notés ici.
~ 1 appelTest
Test manuel sur les cibles convenues, canal ouvert en direct. Le critique est signalé le jour où je le trouve.
5–10 joursRapport
Chaque faille : criticité, reproduction, impact réel, correctif concret. Plus une synthèse pour vos clients.
48 hContre-test
Vous corrigez, je vérifie et délivre une attestation propre. Inclus, pas une prestation à part.
gratuit · 30 jQuand ce test devient urgent.
Un pentest n'attend pas l'incident. Les motifs qui reviennent le plus souvent côté PHP.
- Un client grand compte exige une preuve de test avant de signer
- Une revue SOC 2 / ISO 27001 réclame un pentest annuel
- Une levée de fonds et sa due diligence technique approchent
- Une migration de version PHP ou un changement de framework approche
- Un site WordPress à fort trafic avec plugins et paiements en jeu
- Un doute sur un upload, une désérialisation ou une logique d'auth
Ce qu'on me demande avant de signer.
Les vraies questions d'un premier appel de cadrage sur une application PHP. Si la vôtre manque, elle a sa réponse en un e-mail.
Laravel, Symfony ou WordPress ?
Les trois, plus le PHP « legacy » sans framework. Le périmètre s'adapte à votre stack réelle. Pour un test dédié au framework : audit Laravel ou audit Symfony.
Testez-vous les plugins WordPress ?
Oui. Plugins et thèmes sont souvent le maillon faible ; je teste aussi la chaîne d'extensions et leurs permissions.
Faut-il le code source ?
Utile, pas obligatoire. La boîte grise accélère la détection de désérialisation et d'injections.
Et une base de code PHP ancienne ?
Oui, je teste le legacy 5.x sans exiger une migration préalable. Les vieilles bases concentrent souvent les failles.
Comment fixez-vous le prix ?
Forfait fixe défini au cadrage, à partir du périmètre. Pas de facturation à l'heure, pas de dépassement surprise. Vous validez le prix avant que je commence.
Que se passe-t-il une fois les correctifs faits ?
Contre-test inclus, gratuit, sous 30 jours. Je revérifie chaque faille corrigée et délivre une attestation à jour, prête pour vos clients.
Qui mène votre test.
Saïd Mimouni
Pentest & audit de sécurité · applications web & API
Je teste des applications web et des API à la main, en solo, pour des startups et des agences. Vous parlez à la personne qui ouvre le terminal, du premier e-mail au contre-test.
Le test tourne à distance, mais rien n'empêche de le mener chez vous, partout en France, si c'est plus simple.
Le livrable, page par page.
Correctif concret par faille, au niveau du code — pas un scan brut à retraiter. Chaque faille est reproductible et rédigée pour que vos devs PHP la corrigent sans aller-retour. Exemple complet ci-dessous, mené sur OWASP Juice Shop, l'application volontairement vulnérable de l'OWASP.
- Synthèse exécutive lisible
- Registre noté CVSS v3.1
- Preuves d'exploitation reproductibles
- Correctif concret par faille
- Références OWASP & CWE
- Attestation transmissible
PDF · 7 pages · livrable en français ou en anglais
