Simulation d'attaque réelle sur votre application web, API ou mobile. Méthodologie PTES + OWASP WSTG, exploitation contrôlée des vulnérabilités, rapport priorisé par criticité CVSS. Vous obtenez la vue qu'un attaquant aurait — avant qu'il l'ait.
Les scanners de vulnérabilités (Nessus, Nikto…) détectent des CVE connues. Ils ne testent pas la logique métier, ne chaînent pas les vulnérabilités, ne se posent pas en attaquant motivé. Un pentest humain trouve ce que 90 % des scans manquent.
Atelier de définition du périmètre : applications, URLs, environnements, comptes test, contraintes (heures, IPs source). Signature de l'autorisation d'attaque.
OSINT, énumération sous-domaines, recherche d'expositions publiques (Shodan, GitHub leaks, certificats). Sans toucher la cible.
Scan ports, fingerprinting, énumération technologies (Wappalyzer, Burp), cartographie endpoints API, détection WAF.
Tests OWASP Top 10 + WSTG : injection, broken auth, XSS, CSRF, IDOR, désérialisation, SSRF. Revue logique métier.
Démonstration des vulnérabilités exploitables : escalation, accès cross-tenant, exfiltration de données test. Chaînage des failles.
Évaluation de l'impact réel : pivot interne, persistance, exfiltration. Démonstration concrète pour le COMEX.
Rapport technique (200+ pages typique), executive summary, plan de remédiation chiffré et priorisé, présentation orale.
200+ pages. Chaque vulnérabilité : description, preuve, impact, CVSS, recommandation, PoC reproductible.
10-15 pages pour le COMEX/CODIR. Niveau de risque global, top 5 critiques, recommandations stratégiques.
Priorisé par criticité × effort. Estimation jours/homme. Roadmap réaliste 30/60/90 jours.
Captures vidéo des exploits critiques. Idéal pour formation des dev / présentation au COMEX.
Présentation en visio ou sur site. Q&A technique avec les dev, debrief stratégique avec la direction.
Une fois les corrections appliquées, on revérifie les vulnérabilités hautes & critiques. Inclus dans la prestation.
"Le pentest Kipsafe a révélé 3 failles critiques que nos scanners automatiques ratent depuis 2 ans. La présentation au COMEX a débloqué le budget cyber 2026 en 20 minutes."