Pentest SaaS : vérifier l'isolation entre vos clients.

De préférence sur un environnement de recette iso-production, avec des comptes de test. Le test en production reste possible, encadré par des règles d'engagement écrites.

Avec au moins deux comptes clients distincts, je tente d'atteindre les données de l'un depuis l'autre : identifiants d'objets, appels d'API directs, jetons rejoués. C'est le cœur d'un pentest SaaS.

Oui. Un jeu de comptes par rôle (admin, membre, invité) et par tenant me permet de vérifier chaque frontière d'autorisation, pas seulement le compte principal.

Oui. Le rapport et l'attestation sont conçus pour être remis tels quels à un auditeur ou à un client dans un questionnaire sécurité. Détail par cadre : audit SOC 2 et certification ISO 27001.

Forfait défini au cadrage, à partir du périmètre : jamais de TJM, jamais de rallonge en cours de mission. Vous validez le prix avant que je commence.

Contre-test inclus, gratuit, sous 30 jours. Je revérifie chaque faille corrigée et délivre une attestation à jour, prête pour vos clients.

Vous recevez le même rapport et la même attestation. C'est ce document que réclament un auditeur SOC 2 ou un client dans son questionnaire sécurité : il atteste qu'un test sérieux a eu lieu. Ne rien trouver de critique est un bon résultat, pas une mission ratée. Le détail des tentatives menées figure au rapport, pour que vous sachiez ce qui a été couvert.

Accord de confidentialité signé avant le premier accès. Je travaille de préférence sur des jeux de données de test ; si un accès à des données réelles est inévitable, il est limité au strict nécessaire et consigné. Les preuves d'exploitation sont expurgées, le rapport est transmis chiffré, et les données de mission sont supprimées à l'issue du contre-test.

Une plateforme de bug bounty récompense ce que la foule trouve : excellent sur les failles techniques classiques, faible sur la logique métier et l'isolation multi-tenant, qui demandent de comprendre votre produit. Un cabinet facture l'avant-vente, la chefferie de projet et la marge, puis délègue le test au profil disponible. Ici, le devis correspond au temps de test, et vous traitez de bout en bout avec la personne qui le mène. Le détail chiffré est sur la page tarifs.

Non, base16 n'est pas qualifié PASSI. Cette qualification ANSSI est exigée pour les opérateurs d'importance vitale et certains marchés publics. Si votre obligation la mentionne explicitement, dites-le au premier message : je vous le dirai tout de suite plutôt qu'après un appel. Pour une certification SOC 2, ISO 27001 ou un questionnaire client, elle n'est pas requise.

Prochaine disponibilité : août 2026. Le cadrage se fait dans la semaine qui suit votre message, et je garde quelques créneaux courts pour les échéances subies : audit programmé, questionnaire client, due diligence. Si votre date est contrainte, indiquez-la dans le formulaire.