[{"data":1,"prerenderedAt":240},["ShallowReactive",2],{"footer-services-fr":3,"footer-local-fr":28,"svc-\u002Fservices\u002Ftest-intrusion":45,"svc-alt-\u002Fservices\u002Ftest-intrusion":218,"svc-others-\u002Fservices\u002Ftest-intrusion":220},[4,8,12,16,20,24],{"path":5,"navTitle":6,"order":7},"\u002Fservices\u002Faudit-cybersecurite","Audit de cybersécurité",1,{"path":9,"navTitle":10,"order":11},"\u002Fservices\u002Ftest-intrusion","Test d'intrusion",2,{"path":13,"navTitle":14,"order":15},"\u002Fservices\u002Faudit-microsoft-365-google-workspace","Audit Microsoft 365 \u002F Google Workspace",3,{"path":17,"navTitle":18,"order":19},"\u002Fservices\u002Fconformite-loi-25","Conformité Loi 25",4,{"path":21,"navTitle":22,"order":23},"\u002Fservices\u002Fremediation-durcissement","Remédiation et durcissement",5,{"path":25,"navTitle":26,"order":27},"\u002Fservices\u002Faccompagnement-continu","Accompagnement continu (vCISO)",6,[29,33,37,41],{"path":30,"city":31,"translationKey":32},"\u002Faudit-cybersecurite\u002Fmontreal","Montréal","montreal",{"path":34,"city":35,"translationKey":36},"\u002Faudit-cybersecurite\u002Flaval","Laval","laval",{"path":38,"city":39,"translationKey":40},"\u002Faudit-cybersecurite\u002Frive-sud","Rive-Sud","rive-sud",{"path":42,"city":43,"translationKey":44},"\u002Faudit-cybersecurite\u002Frive-nord","Rive-Nord","rive-nord",{"id":46,"title":47,"body":48,"deliverables":167,"description":174,"extension":175,"faq":176,"icon":189,"idealFor":190,"meta":195,"navTitle":10,"navigation":196,"order":11,"path":9,"price":189,"process":197,"rawbody":213,"seo":214,"stem":215,"tagline":216,"translationKey":189,"__hash__":217},"services_fr\u002Fservices\u002Ftest-intrusion.md","Test d'intrusion pour PME à Montréal et au Québec",{"type":49,"value":50,"toc":157},"minimark",[51,55,58,63,68,71,75,78,87,91,99,103,111,114,133,136,140,143,150],[52,53,54],"p",{},"Un test d'intrusion (ou pentest) répond à une question simple : si quelqu'un voulait vraiment entrer, jusqu'où irait-il ? Notre équipe se met dans la peau d'un attaquant et utilise de vraies techniques, dans un cadre strict que vous approuvez par écrit.",[52,56,57],{},"Contrairement à un outil automatisé, nous exploitons les failles manuellement, nous les combinons et nous mesurons leur impact concret : accès aux courriels de la direction, aux dossiers clients, au logiciel comptable. Vous savez enfin ce qui est grave et ce qui peut attendre.",[59,60,62],"h2",{"id":61},"trois-types-de-tests-selon-votre-réalité","Trois types de tests, selon votre réalité",[64,65,67],"h3",{"id":66},"test-dintrusion-externe","Test d'intrusion externe",[52,69,70],{},"Nous attaquons depuis Internet, comme n'importe qui dans le monde pourrait le faire : site Web, portails, messagerie, accès à distance (RPV, bureau à distance), pare-feu et services oubliés. C'est la première surface qu'un attaquant explore.",[64,72,74],{"id":73},"test-dintrusion-interne","Test d'intrusion interne",[52,76,77],{},"Nous partons d'un poste compromis ou d'une prise réseau dans vos bureaux. C'est le scénario de l'employé qui a cliqué sur le mauvais lien. Nous évaluons ce qu'un attaquant pourrait atteindre ensuite : Active Directory, serveurs de fichiers, sauvegardes, comptes à privilèges. Le test se fait sur place, partout au Québec, ou à distance au moyen d'un accès sécurisé convenu avec votre équipe TI.",[52,79,80,81,86],{},"Vous hésitez entre les deux ? Notre article sur ",[82,83,85],"a",{"href":84},"\u002Fblogue\u002Ftest-intrusion-externe-vs-interne","le test d'intrusion externe ou interne"," vous aide à choisir.",[64,88,90],{"id":89},"test-dapplication-web","Test d'application web",[52,92,93,94,98],{},"Pour votre portail client, votre boutique en ligne ou votre application métier. Nous suivons la méthodologie de l'OWASP (Top 10 et guide de test WSTG) : contrôle d'accès, authentification, gestion des sessions, injections et logique d'affaires. Les tests se font avec des comptes de test, idéalement sur un environnement de préproduction. Pour aller plus loin, lisez notre article sur ",[82,95,97],{"href":96},"\u002Fblogue\u002Ftest-intrusion-application-web-owasp-top-10","le pentest d'application web et l'OWASP Top 10",".",[59,100,102],{"id":101},"un-cadre-clair-avant-le-premier-test","Un cadre clair avant le premier test",[104,105,108],"callout",{"title":106,"type":107},"Aucun test sans autorisation écrite","warning",[52,109,110],{},"Au Canada, utiliser un ordinateur sans autorisation est une infraction au Code criminel (art. 342.1). Nous ne commençons jamais sans une autorisation signée par une personne habilitée de votre entreprise. Si vos systèmes sont hébergés chez un tiers, son accord peut aussi être nécessaire.",[52,112,113],{},"Avant de commencer, nous rédigeons avec vous les règles d'engagement. Ce document précise :",[115,116,117,121,124,127,130],"ul",{},[118,119,120],"li",{},"les domaines, adresses et applications visés, et ceux qui sont exclus ;",[118,122,123],{},"les dates et les plages horaires des tests ;",[118,125,126],{},"les techniques permises et interdites (par exemple, aucun déni de service) ;",[118,128,129],{},"les personnes à joindre en cas d'urgence, des deux côtés ;",[118,131,132],{},"la façon dont nous protégeons les données consultées pendant le mandat.",[52,134,135],{},"La portée et le prix sont fixés dans une soumission avant le début des travaux. Pas de dépassement surprise.",[59,137,139],{"id":138},"un-rapport-priorisé-lisible-et-utile","Un rapport priorisé, lisible et utile",[52,141,142],{},"Le rapport s'adresse à deux publics. La direction obtient un sommaire exécutif en français clair : le niveau de risque, les scénarios d'attaque démontrés et les priorités. L'équipe technique obtient, pour chaque vulnérabilité, une description, une cote de sévérité, les preuves (captures d'écran, requêtes), les étapes pour la reproduire et la correction recommandée.",[52,144,145,146,98],{},"Une fois vos correctifs appliqués, nous faisons une contre-vérification pour confirmer que les failles sont bien fermées. Vous obtenez alors une lettre d'attestation à présenter à vos clients ou à votre assureur. Pour savoir comment tirer le maximum de ce document, consultez notre guide pour ",[82,147,149],{"href":148},"\u002Fblogue\u002Flire-rapport-test-intrusion","lire un rapport de test d'intrusion",[52,151,152,153,156],{},"Pas encore prêt pour un test d'intrusion ? Un ",[82,154,155],{"href":5},"audit de cybersécurité"," est souvent la meilleure première étape : il vous permet de corriger les évidences avant de payer quelqu'un pour les trouver.",{"title":158,"searchDepth":11,"depth":15,"links":159},"",[160,165,166],{"id":61,"depth":11,"text":62,"children":161},[162,163,164],{"id":66,"depth":15,"text":67},{"id":73,"depth":15,"text":74},{"id":89,"depth":15,"text":90},{"id":101,"depth":11,"text":102},{"id":138,"depth":11,"text":139},[168,169,170,171,172,173],"Règles d'engagement et lettre d'autorisation signées avant le premier test","Rapport en français : sommaire exécutif pour la direction et détails techniques reproductibles","Vulnérabilités classées par sévérité, avec preuve d'exploitation et correctif recommandé","Présentation des résultats à votre équipe, à votre fournisseur TI ou à vos développeurs","Contre-vérification (retest) des vulnérabilités corrigées","Lettre d'attestation à remettre à vos clients ou à votre assureur","Tests d'intrusion externe, interne et d'application web (OWASP) avec exploitation manuelle, rapport priorisé en français et contre-vérification des correctifs.","md",[177,180,183,186],{"q":178,"a":179},"Un test d'intrusion peut-il faire tomber nos systèmes ?","Le risque est faible et encadré. Les techniques permises, les plages horaires et les systèmes à éviter sont fixés d'avance. Les tests les plus sensibles peuvent se faire en dehors des heures d'affaires ou sur un environnement de préproduction.",{"q":181,"a":182},"Quelle est la différence avec un scan de vulnérabilités ?","Un scan automatisé dresse une liste de failles potentielles, avec son lot de faux positifs. Le test d'intrusion va plus loin : un humain vérifie chaque faille, les enchaîne et démontre ce qu'un attaquant pourrait réellement obtenir.",{"q":184,"a":185},"Faut-il prévenir nos employés et notre fournisseur TI ?","Votre fournisseur TI et, s'il y a lieu, votre hébergeur doivent être informés. Pour les employés, ce n'est pas obligatoire : ne pas les prévenir permet de vérifier si l'attaque est détectée. Nous en convenons avec vous au moment du cadrage.",{"q":187,"a":188},"À quelle fréquence faut-il faire un test d'intrusion ?","Une fois par année est une pratique courante, ainsi qu'après tout changement important : nouvelle application, migration, ouverture d'un accès à distance. Certains contrats et certains assureurs imposent leur propre fréquence.","pentest",[191,192,193,194],"Une entreprise qui lance ou refond une application web ou un portail client","Une PME à qui un client, un donneur d'ordre ou un assureur demande un test d'intrusion","Une organisation qui a déjà fait un audit et veut valider ses systèmes les plus critiques","Une entreprise qui offre des accès à distance (RPV, bureau à distance) exposés sur Internet",{},true,[198,201,204,207,210],{"title":199,"text":200},"Cadrage et autorisation","Nous définissons ensemble la cible, la période de test et les limites. Rien ne commence sans votre autorisation écrite signée.",{"title":202,"text":203},"Reconnaissance","Nous cartographions ce qu'un attaquant verrait : services exposés, technologies utilisées, comptes et points d'entrée.",{"title":205,"text":206},"Exploitation manuelle","Nous tentons d'exploiter les failles trouvées, à la main, pour mesurer leur impact réel sans nuire à vos opérations.",{"title":208,"text":209},"Rapport et présentation","Vous recevez un rapport priorisé, et nous en discutons avec votre équipe pour planifier les correctifs.",{"title":211,"text":212},"Contre-vérification","Une fois les correctifs appliqués, nous testons de nouveau les vulnérabilités pour confirmer qu'elles sont bien fermées.","---\ntitle: \"Test d'intrusion pour PME à Montréal et au Québec\"\nnavTitle: \"Test d'intrusion\"\ndescription: \"Tests d'intrusion externe, interne et d'application web (OWASP) avec exploitation manuelle, rapport priorisé en français et contre-vérification des correctifs.\"\ntranslationKey: pentest\norder: 2\nicon: pentest\nprice: pentest\ntagline: \"Nous attaquons vos systèmes comme un pirate, avec votre autorisation écrite, pour que vous corrigiez avant lui.\"\ndeliverables:\n  - \"Règles d'engagement et lettre d'autorisation signées avant le premier test\"\n  - \"Rapport en français : sommaire exécutif pour la direction et détails techniques reproductibles\"\n  - \"Vulnérabilités classées par sévérité, avec preuve d'exploitation et correctif recommandé\"\n  - \"Présentation des résultats à votre équipe, à votre fournisseur TI ou à vos développeurs\"\n  - \"Contre-vérification (retest) des vulnérabilités corrigées\"\n  - \"Lettre d'attestation à remettre à vos clients ou à votre assureur\"\nprocess:\n  - title: \"Cadrage et autorisation\"\n    text: \"Nous définissons ensemble la cible, la période de test et les limites. Rien ne commence sans votre autorisation écrite signée.\"\n  - title: \"Reconnaissance\"\n    text: \"Nous cartographions ce qu'un attaquant verrait : services exposés, technologies utilisées, comptes et points d'entrée.\"\n  - title: \"Exploitation manuelle\"\n    text: \"Nous tentons d'exploiter les failles trouvées, à la main, pour mesurer leur impact réel sans nuire à vos opérations.\"\n  - title: \"Rapport et présentation\"\n    text: \"Vous recevez un rapport priorisé, et nous en discutons avec votre équipe pour planifier les correctifs.\"\n  - title: \"Contre-vérification\"\n    text: \"Une fois les correctifs appliqués, nous testons de nouveau les vulnérabilités pour confirmer qu'elles sont bien fermées.\"\nidealFor:\n  - \"Une entreprise qui lance ou refond une application web ou un portail client\"\n  - \"Une PME à qui un client, un donneur d'ordre ou un assureur demande un test d'intrusion\"\n  - \"Une organisation qui a déjà fait un audit et veut valider ses systèmes les plus critiques\"\n  - \"Une entreprise qui offre des accès à distance (RPV, bureau à distance) exposés sur Internet\"\nfaq:\n  - q: \"Un test d'intrusion peut-il faire tomber nos systèmes ?\"\n    a: \"Le risque est faible et encadré. Les techniques permises, les plages horaires et les systèmes à éviter sont fixés d'avance. Les tests les plus sensibles peuvent se faire en dehors des heures d'affaires ou sur un environnement de préproduction.\"\n  - q: \"Quelle est la différence avec un scan de vulnérabilités ?\"\n    a: \"Un scan automatisé dresse une liste de failles potentielles, avec son lot de faux positifs. Le test d'intrusion va plus loin : un humain vérifie chaque faille, les enchaîne et démontre ce qu'un attaquant pourrait réellement obtenir.\"\n  - q: \"Faut-il prévenir nos employés et notre fournisseur TI ?\"\n    a: \"Votre fournisseur TI et, s'il y a lieu, votre hébergeur doivent être informés. Pour les employés, ce n'est pas obligatoire : ne pas les prévenir permet de vérifier si l'attaque est détectée. Nous en convenons avec vous au moment du cadrage.\"\n  - q: \"À quelle fréquence faut-il faire un test d'intrusion ?\"\n    a: \"Une fois par année est une pratique courante, ainsi qu'après tout changement important : nouvelle application, migration, ouverture d'un accès à distance. Certains contrats et certains assureurs imposent leur propre fréquence.\"\n---\n\nUn test d'intrusion (ou pentest) répond à une question simple : si quelqu'un voulait vraiment entrer, jusqu'où irait-il ? Notre équipe se met dans la peau d'un attaquant et utilise de vraies techniques, dans un cadre strict que vous approuvez par écrit.\n\nContrairement à un outil automatisé, nous exploitons les failles manuellement, nous les combinons et nous mesurons leur impact concret : accès aux courriels de la direction, aux dossiers clients, au logiciel comptable. Vous savez enfin ce qui est grave et ce qui peut attendre.\n\n## Trois types de tests, selon votre réalité\n\n### Test d'intrusion externe\n\nNous attaquons depuis Internet, comme n'importe qui dans le monde pourrait le faire : site Web, portails, messagerie, accès à distance (RPV, bureau à distance), pare-feu et services oubliés. C'est la première surface qu'un attaquant explore.\n\n### Test d'intrusion interne\n\nNous partons d'un poste compromis ou d'une prise réseau dans vos bureaux. C'est le scénario de l'employé qui a cliqué sur le mauvais lien. Nous évaluons ce qu'un attaquant pourrait atteindre ensuite : Active Directory, serveurs de fichiers, sauvegardes, comptes à privilèges. Le test se fait sur place, partout au Québec, ou à distance au moyen d'un accès sécurisé convenu avec votre équipe TI.\n\nVous hésitez entre les deux ? Notre article sur [le test d'intrusion externe ou interne](\u002Fblogue\u002Ftest-intrusion-externe-vs-interne) vous aide à choisir.\n\n### Test d'application web\n\nPour votre portail client, votre boutique en ligne ou votre application métier. Nous suivons la méthodologie de l'OWASP (Top 10 et guide de test WSTG) : contrôle d'accès, authentification, gestion des sessions, injections et logique d'affaires. Les tests se font avec des comptes de test, idéalement sur un environnement de préproduction. Pour aller plus loin, lisez notre article sur [le pentest d'application web et l'OWASP Top 10](\u002Fblogue\u002Ftest-intrusion-application-web-owasp-top-10).\n\n## Un cadre clair avant le premier test\n\n::callout{type=\"warning\" title=\"Aucun test sans autorisation écrite\"}\nAu Canada, utiliser un ordinateur sans autorisation est une infraction au Code criminel (art. 342.1). Nous ne commençons jamais sans une autorisation signée par une personne habilitée de votre entreprise. Si vos systèmes sont hébergés chez un tiers, son accord peut aussi être nécessaire.\n::\n\nAvant de commencer, nous rédigeons avec vous les règles d'engagement. Ce document précise :\n\n- les domaines, adresses et applications visés, et ceux qui sont exclus ;\n- les dates et les plages horaires des tests ;\n- les techniques permises et interdites (par exemple, aucun déni de service) ;\n- les personnes à joindre en cas d'urgence, des deux côtés ;\n- la façon dont nous protégeons les données consultées pendant le mandat.\n\nLa portée et le prix sont fixés dans une soumission avant le début des travaux. Pas de dépassement surprise.\n\n## Un rapport priorisé, lisible et utile\n\nLe rapport s'adresse à deux publics. La direction obtient un sommaire exécutif en français clair : le niveau de risque, les scénarios d'attaque démontrés et les priorités. L'équipe technique obtient, pour chaque vulnérabilité, une description, une cote de sévérité, les preuves (captures d'écran, requêtes), les étapes pour la reproduire et la correction recommandée.\n\nUne fois vos correctifs appliqués, nous faisons une contre-vérification pour confirmer que les failles sont bien fermées. Vous obtenez alors une lettre d'attestation à présenter à vos clients ou à votre assureur. Pour savoir comment tirer le maximum de ce document, consultez notre guide pour [lire un rapport de test d'intrusion](\u002Fblogue\u002Flire-rapport-test-intrusion).\n\nPas encore prêt pour un test d'intrusion ? Un [audit de cybersécurité](\u002Fservices\u002Faudit-cybersecurite) est souvent la meilleure première étape : il vous permet de corriger les évidences avant de payer quelqu'un pour les trouver.\n",{"title":47,"description":174},"services\u002Ftest-intrusion","Nous attaquons vos systèmes comme un pirate, avec votre autorisation écrite, pour que vous corrigiez avant lui.","KvYUCpI6jcJiz5zu0ek_jG9hVQZQADDMhFGQ6czBnQc",{"path":219},"\u002Fen\u002Fservices\u002Fpenetration-testing",[221,225,228,232,236],{"path":5,"navTitle":6,"tagline":222,"icon":223,"price":224,"order":7},"Un portrait clair de vos risques et un plan d'action priorisé, rédigé en français et sans jargon.","audit","diagnostic",{"path":13,"navTitle":14,"tagline":226,"icon":227,"price":227,"order":15},"Vos courriels et vos fichiers vivent dans l'infonuagique. Vérifions que les bons réglages protègent votre entreprise.","cloud",{"path":17,"navTitle":18,"tagline":229,"icon":230,"price":231,"order":19},"Des obligations de la Loi 25 claires, documentées et appliquées, en commençant par la sécurité de vos données.","law","loi25",{"path":21,"navTitle":22,"tagline":233,"icon":234,"price":235,"order":23},"Un rapport ne protège personne tant que les correctifs ne sont pas faits. Nous passons de la liste à l'action.","wrench",null,{"path":25,"navTitle":26,"tagline":237,"icon":238,"price":239,"order":27},"Un responsable de la sécurité à temps partagé, qui connaît votre entreprise et suit vos risques mois après mois.","partner","vciso",1792957206923]