Audit de sécurité web et mobile

🔍 Audit de sécurité des applications web et mobiles

Nos experts auditent vos sites, applications mobiles et API au Japon, de l’analyse automatisée à l’audit combiné avec des tests manuels. Nous détectons notamment les injections SQL, le cross-site scripting et les contournements d’authentification.

Présentation

Le principe

Les applications web et mobiles peuvent contenir des vulnérabilités comme l’injection SQL, le cross-site scripting ou le contournement d’authentification. Non corrigées, elles exposent à des fuites de données, à des accès non autorisés et à des interruptions de service.

Nous auditons selon les références du secteur, à commencer par l’OWASP Top 10. Chaque vulnérabilité est présentée avec sa gravité, sa procédure de reproduction et la correction recommandée.

✓

Référentiel OWASP Top 10

Critères d’audit fondés sur les référentiels internationaux de sécurité des applications web

✓

iOS et Android

Applications mobiles sur les deux plateformes

✓

API incluses

Points de terminaison REST, GraphQL et WebSocket

Enjeux

Les situations que nous traitons

Enjeu
Vérifier la sécurité avant une mise en ligne au Japon
✓ Nous recherchons les vulnérabilités avant le lancement de votre site ou de votre nouvelle fonctionnalité.
Enjeu
Fournir des preuves pour une exigence de conformité
✓ Rapports et preuves d’audit utilisables pour PCI DSS, ISO 27001, les lignes directrices de la FSA japonaise ou la « Security Checklist » japonaise des e-commerçants.
Enjeu
Démontrer la sécurité d’un service qui traite des données clients
✓ Un audit réalisé par un tiers indépendant étaye votre démarche auprès de vos clients et partenaires.
Enjeu
Trouver ce que les audits précédents n’ont pas vu
✓ L’audit combinant outils automatisés et tests manuels permet de rechercher les failles de logique et les contournements d’authentification que les outils seuls ne détectent pas.
Types d’audit

Deux types d’audit

Nous vous proposons le type adapté à vos objectifs, à votre budget et à votre calendrier.

Type A : analyse automatisée

Entrée de gamme

Un scanner de sécurité détecte automatiquement les vulnérabilités connues. Cette formule permet d’obtenir rapidement une première couverture.

  • Analyse automatisée des CVE connues et des principales catégories de l’OWASP Top 10
  • Revue des résultats et élimination des faux positifs par nos experts
  • Rapport avec liste priorisée des vulnérabilités et recommandations
  • Délai indicatif : 3 à 5 jours ouvrés selon le périmètre
Parler de cet audit

Type B : analyse automatisée et tests manuels

Recommandé

Nous combinons l’analyse automatisée avec des tests manuels réalisés par nos experts, pour trouver aussi les failles de logique métier, les contournements d’authentification et les défauts de contrôle d’accès.

  • Analyse automatisée et tests manuels selon l’OWASP WSTG
  • Vérification détaillée de l’authentification, des sessions et du contrôle d’accès
  • Recherche d’incohérences de logique métier et d’élévation de privilèges
  • Vérification détaillée des API REST et GraphQL (option)
  • Rapport à deux niveaux : synthèse pour la direction et détail technique
  • Délai indicatif : 1 à 2 semaines selon le périmètre et le nombre de fonctionnalités
Parler de cet audit
Périmètre

Ce que nous auditons

🌐 Applications web

  • Connexion et authentification (MFA comprise)
  • Formulaires, recherche et filtres
  • Envoi et téléchargement de fichiers
  • API (REST, GraphQL)
  • Interfaces d’administration et back-office
  • Gestion des sessions et paramètres des cookies
  • Communications WebSocket le cas échéant

📱 Applications mobiles

  • Sécurité du stockage local des données
  • Chiffrement des communications (TLS, épinglage de certificat)
  • Protection contre la rétro-ingénierie
  • Mise en œuvre de l’authentification et des sessions
  • Communication entre applications (Intent, liens profonds)
  • Échanges avec les API du serveur
  • iOS et Android
Livrables

Ce que vous recevez

📋

Synthèse pour la direction

Vue d’ensemble des risques et appréciation générale

📊

Liste des vulnérabilités

Gravité, score CVSS et statut de chaque vulnérabilité

🔬

Fiches détaillées

Procédure de reproduction et captures d’écran

🛠️

Guide de remédiation

Feuille de route priorisée et conseils de mise en œuvre

Déroulement

Comment se déroule un audit

1

Prise de contact et entretien

Applications concernées, fonctions, calendrier et points d’inquiétude. Nous vous proposons le type d’audit adapté et un devis, gratuitement.

2

Accord de confidentialité et contrat

Signature d’un accord de confidentialité, puis validation du périmètre, du calendrier et des comptes de test.

3

Audit

Réalisation de l’audit sur le périmètre convenu, en limitant l’impact sur la production. Nous pouvons partager l’avancement au fil de l’eau.

4

Rapport et restitution

Rapport avec priorités, procédures de reproduction et recommandations, présenté lors d’une réunion en ligne.

5

Accompagnement et audit de contrôle

Conseils de correction, puis audit de contrôle après correction.

FAQ

Questions fréquentes

Nos méthodes limitent l’impact sur la production. Les tests générant une charge importante sont réalisés, après accord, en préproduction ou pendant une plage de maintenance.
Nous travaillons par défaut en boîte noire, sans code source. Si vous nous le fournissez, un audit en boîte blanche permet d’aller plus loin.
La charge dépend du nombre de fonctionnalités, d’écrans et de points de terminaison d’API. Nous vous indiquons le périmètre et le devis après l’entretien.
Oui. L’audit de vulnérabilités fait partie des mesures attendues des e-commerçants au Japon, et nos rapports peuvent servir de preuve auprès de votre acquéreur ou de votre prestataire de paiement.
À lire

Pour aller plus loin

Parlons de l’audit de vos applications au Japon

Lors d’un premier échange gratuit, nous faisons le point sur le périmètre, les enjeux et le budget. Nous pouvons signer un accord de confidentialité.

Parler d’un audit