Diagnostic & audits de cybersécurité

Qu'est-ce que je fais ?

J'utilise uniquement des bases d'information publiques (annuaires DNS, registres officiels, archives Internet). Je n'envoie aucune requête vers vos serveurs. C'est l'équivalent de consulter le cadastre public pour étudier une parcelle, sans pénétrer chez vous.

Ce que je cherche concrètement

• Usurpation d'email possible : est-ce que quelqu'un peut envoyer un mail en se faisant passer pour vous (fraude au virement type "votre IBAN a changé") ?
• Noms de domaine pièges : est-ce que des escrocs ont acheté des variantes proches de votre nom (perrochon-notaire.com, perrochon-actes.fr, etc.) pour piéger vos clients ?
• Sous-sites oubliés : ancien webmail, vieille interface de gestion qui traîne encore en ligne et que vous ne surveillez plus
• Fuites publiques : votre nom ou celui de l'étude apparaît-il dans des bases de données piratées disponibles publiquement ?

Ce que je vous livre

Un document PDF d'une page avec mes 3 à 5 constats principaux et leur niveau de risque. Je ne facture rien. C'est ma manière de me présenter aux confrères de la région.

Qu'est-ce que je fais ?

Une fois que vous avez signé l'autorisation écrite (mandat), je peux toucher à votre site pour vérifier comment il est configuré. C'est la même différence qu'entre regarder une maison depuis la rue (gratuit, sans permission) et faire le tour du jardin pour vérifier les serrures des portes (avec votre accord).

Ce que je cherche concrètement

• Récupération de vos accès techniques égarés : qui héberge votre nom de domaine, où sont vos accès administrateur, comment les récupérer si vous les avez perdus. Très fréquent : beaucoup de cabinets ne savent plus qui gère leur infrastructure technique. Je m'occupe du whois, du contact registrar et de la procédure de récupération.
• Correction des défauts de protection email identifiés au Niveau 0 : configuration anti-usurpation (SPF/DKIM/DMARC) pour empêcher la fraude au virement par usurpation de votre adresse
• Protections invisibles manquantes : votre site dit-il aux navigateurs comment se protéger contre les attaques classiques ?
• Fichiers techniques oubliés en ligne : des choses comme un ancien fichier de configuration avec des mots de passe, une sauvegarde de site, un dossier "/admin" non protégé
• Vieilles versions de logiciels : le site utilise-t-il une version de WordPress, PHP ou autre qui a des failles connues et patchées depuis longtemps ?
• Cookies sans protection : les fichiers que votre site dépose chez vos visiteurs sont-ils sécurisés contre le vol ?
• Liste des sous-sites actifs : combien de sites secondaires dépendent de votre nom de domaine, et lesquels sont à surveiller ?

Ce que je vous livre

• Un rapport PDF de 4 à 6 pages en français accessible
• Un inventaire de votre patrimoine numérique : registrar, hébergeur, comptes administrateurs identifiés, accès récupérés ou procédure formelle pour les récupérer
• Une liste d'actions concrètes classées par priorité (à faire en urgence / dans le mois / éventuellement)
• Pour chaque problème : ce que c'est, pourquoi c'est un risque, et comment le corriger
• Conservation légale : carnet de mission signé électroniquement (preuve en cas de litige)

Qu'est-ce que je fais en plus du Niveau 1 ?

J'inclus tout ce qui est dans le Niveau 1, et j'ajoute une cartographie complète de votre présence en ligne. Imaginez un état des lieux complet de tout ce qui touche votre nom : site principal, sous-sites, anciens projets, traces dans les moteurs de recherche, fuites publiques éventuelles.

Ce que je cherche en plus

• Recherche dans le code de votre site : y a-t-il des clés, mots de passe ou identifiants oubliés dans le code visible publiquement ?
• Recherche de fuites historiques : votre étude ou ses anciens collaborateurs apparaissent-ils dans des bases d'identifiants piratés ?
• Vérification des 10 failles les plus courantes en 2026 (référentiel OWASP, le standard international)
• Analyse de la chaîne de risques : si un petit problème + un autre petit problème peuvent se combiner pour devenir un gros problème
• Mapping conformité RGPD : votre traitement des données respecte-t-il les obligations légales de sécurité (article 32 du RGPD) ?

Ce que je vous livre

• Un rapport PDF de 10 à 15 pages
• Une cartographie visuelle de vos points d'exposition (un schéma simple pour comprendre où sont les risques)
• Le plan d'action priorisé avec, pour chaque action, une estimation du coût et du délai
• Mapping aux normes : OWASP, RGPD article 32, ISO 27001
• Un appel de restitution de 30 minutes pour vous expliquer les conclusions

Qu'est-ce que je fais en plus du Niveau 2 ?

Je passe en mode test d'intrusion contrôlé. Au lieu de juste regarder votre site, je vais essayer activement de l'attaquer comme le ferait un cybercriminel, mais avec des techniques sans risque pour votre activité (aucune donnée modifiée, aucune saturation, juste des tests de "preuve de concept").

Comparaison : c'est la différence entre vérifier qu'une porte a un verrou (Niveau 2) et essayer réellement de la crocheter sans la casser (Niveau 3).

Ce que je teste activement

• Injection SQL : est-ce qu'on peut accéder à votre base de données depuis votre formulaire de contact ? (test inoffensif)
• Injection JavaScript (XSS) : est-ce qu'un attaquant pourrait afficher de faux messages sur votre site pour piéger vos clients ?
• Contournement d'authentification : est-ce qu'on peut accéder à votre espace de gestion sans connaître le mot de passe ?
• Force brute légère : combien de tentatives de mot de passe peut-on faire avant blocage ? (limité à 10 tentatives pour rester inoffensif)
• Test de configuration cookies & sessions : peut-on détourner une session utilisateur ?
• Test des pages cachées : y a-t-il des espaces d'administration accessibles sans authentification ?

Ce que je vous livre

• Un rapport technique de 20 à 30 pages avec preuves (captures, extraits HTTP)
• Une synthèse exécutive de 2 pages en langage non technique (utilisable pour votre assurance, votre expert-comptable ou votre direction)
• Un score de maturité sur 100 pour vous situer par rapport au marché
• Pour chaque problème trouvé : la preuve technique, l'impact business, et la solution chiffrée
• Un appel de restitution de 1 heure
• Carnet de mission signé électroniquement (preuve légale opposable)

Qu'est-ce que je fais en plus du Niveau 3 ?

Je teste votre système avec deux comptes utilisateurs que vous me fournissez (deux comptes de test, créés exprès pour l'audit, pas vos vrais comptes clients). Je peux ainsi vérifier si un utilisateur peut accéder aux données d'un autre — c'est le scénario "employé curieux" ou "compte volé".

Comparaison : Niveau 3 c'est tester les serrures de la porte d'entrée. Niveau 4 c'est aussi tester si une clé donnée à un collaborateur ouvre plus de portes qu'elle ne devrait.

Ce que je teste en plus

• Cloisonnement entre utilisateurs : avec mon compte A, puis-je accéder aux documents du compte B en changeant juste un numéro dans l'URL ? (faille très répandue)
• Escalade de privilèges : un utilisateur peut-il se transformer en administrateur par une manipulation ?
• Manipulation de session : peut-on forger ou modifier un jeton d'authentification ?
• Logique métier : peut-on contourner les règles métier (ex : modifier le prix d'un acte facturé, accéder à un dossier d'un autre client) ?
• Audit de facturation électronique : votre flux de facturation dématérialisée (normes B2B Factur-X entrant en vigueur 2026-2027) est-il conforme et sécurisé ?
• Recherche de secrets sur dépôts publics (scan TruffleHog-style : votre nom ou domaine apparaît-il dans des fuites de code source GitHub) ?
• Tests d'attaque chaînée (SSRF) : peut-on utiliser votre serveur pour pivoter vers des systèmes internes ?

Ce que je vous livre

• Un rapport technique de 40 à 60 pages
• Un rapport exécutif de 5 à 8 pages utilisable comme démonstration de diligence (assurance cyber, contrôle CNIL, contrôle de la chambre des notaires)
• Plan de remédiation chiffré poste par poste (matériel, logiciels, prestations externes)
• Une restitution en visioconférence d'1 heure
• Re-test offert sur les 3 vulnérabilités les plus critiques après que vous les ayez corrigées (sous 60 jours)