Sécurité applicative
Tests d’intrusion web, mobile et API, avec des correctifs que vos développeurs peuvent livrer.
La plupart des intrusions passent encore par l’application : un contrôle d’accès oublié, un client qui lit les données d’un autre, une API qui fait confiance au navigateur. Nous testons votre application web, vos applications mobiles et vos API comme le ferait un attaquant, expliquons chaque faille dans le langage des développeurs et retestons après correction, pour que le rapport se traduise en logiciel plus sûr et non en PDF oublié.
01 / Ce que nous testons
Authentification, sessions, contrôle d’accès entre utilisateurs et clients, logique métier et OWASP Top 10.
API REST et GraphQL selon l’OWASP API Security Top 10 : autorisation par objet, mass assignment, limites de débit, jetons.
Applications iOS et Android selon l’OWASP MASVS : stockage local, certificate pinning, rétro-ingénierie et backend.
Chats LLM, agents IA et serveurs MCP de votre produit, testés contre l’injection de prompt, les fuites de données et les actions indésirables.
02 / Stack
Standard du secteur, ennuyeux dans le bon sens : des outils d’avenir, que le prochain ingénieur connaîtra aussi.
Tests web
Burp Suite
Proxy d’interception pour les tests manuels
OWASP ZAP
Scanner et proxy open source
Nuclei
Contrôles de failles connues par modèles
Playwright
Parcours scriptés pour les tests authentifiés
Tests d’API
Postman
Collections d’appels autorisés
Schemathesis
Tests par propriétés à partir d’OpenAPI
GraphQL tooling
Introspection, requêtes groupées et profondes
JWT & OAuth testing
Tests de jetons, de droits et de sessions
Tests mobiles
MobSF
Analyse mobile statique et dynamique
Frida
Instrumentation à l’exécution
Objection
Exploration sur l’appareil
OWASP MASVS
Le référentiel de vérification utilisé
03 / Approche
Nous partons du fonctionnement de votre produit et de ses attaquants probables, pour concentrer le temps sur l’essentiel.
Des scanners pour la base ; un ingénieur pour le contrôle d’accès, les failles logiques et l’isolation entre clients.
Chaque faille avec son impact, sa reproduction et un correctif concret pour votre stack, prête pour un ticket.
Une fois les failles corrigées, nous les retestons et mettons le rapport à jour comme preuve de leur fermeture.
04 / Standards
Nous respectons les standards du secteur et des méthodes éprouvées sur chaque projet : c’est ce qui fait tenir le devis.
05 / Infrastructure
Bonnes questions
Des réponses franches aux questions posées avant de démarrer.
Tout ce qu’un attaquant peut atteindre : authentification et sessions, contrôle d’accès entre utilisateurs et tenants, traitement des entrées, logique métier, API, téléversement de fichiers, secrets et configuration. WNC teste selon l’OWASP Top 10, l’OWASP API Security Top 10 et, pour les applications mobiles, l’OWASP MASVS, et convient avec vous du périmètre exact avant de commencer.
Réalisations liées
Nos projets et produits qui ont mobilisé ce service.
Start
Dites-nous ce que vous voulez tester. Un ingénieur senior vous répond avec un périmètre et un prix honnêtes.
Let’s manage Voir sécurité de l’IA et red teaming
