Description du projet
TraduitNous nous préparons à lancer une application web qui traitera des données sensibles des utilisateurs, et avant de passer en production, nous avons besoin d'une évaluation de sécurité indépendante d'un spécialiste externe. Il ne s'agit pas de durcissement général des serveurs ou de configuration de pare-feu — nous avons besoin d'un test de pénétration ciblé de l'application elle-même avec une couverture de la liste complète de l'OWASP Top 10 : injections, authentification et gestion de session défaillantes, contrôle d'accès défaillant, scripts intersites, références d'objet direct non sécurisées, mauvaise configuration de la sécurité, exposition de données sensibles, et autres catégories. Il est important pour nous que le testeur pense comme un véritable attaquant et vérifie l'application de la manière dont un adversaire le ferait.
Le travail doit combiner des tests manuels et des scanners, car l'automatisation seule manque des erreurs logiques et des défauts d'autorisation. Nous fournirons un environnement de test, deux ou trois comptes avec différents niveaux de privilèges, et un aperçu des principaux scénarios. En retour, nous attendons un rapport écrit clair : chaque constat est décrit avec des étapes de reproduction, niveau de gravité (par exemple, par CVSS), impact réel, et conseils pratiques de remédiation avec lesquels nos développeurs peuvent travailler. Nous demandons que vous sépariez les vulnérabilités confirmées des observations à faible confiance afin que nous puissions prioriser correctement.
Après avoir traité les constatations, nous aurons besoin d'un retest : pour confirmer que chaque élément est effectivement corrigé et qu'aucun nouveau problème n'est apparu. La confidentialité est obligatoire — tout ce qui est trouvé reste strictement entre nous, les données de nos systèmes ne sont copiées nulle part. Veuillez décrire votre méthodologie, les normes que vous suivez, et un calendrier estimé pour l'audit y compris le retest.
Ce qui compte le plus pour nous :
— Couverture complète de l'OWASP Top 10, travail manuel plus automatisation
— Rapport avec niveaux de gravité et recommandations de remédiation
— Retest obligatoire pour confirmer les corrections
Le travail doit combiner des tests manuels et des scanners, car l'automatisation seule manque des erreurs logiques et des défauts d'autorisation. Nous fournirons un environnement de test, deux ou trois comptes avec différents niveaux de privilèges, et un aperçu des principaux scénarios. En retour, nous attendons un rapport écrit clair : chaque constat est décrit avec des étapes de reproduction, niveau de gravité (par exemple, par CVSS), impact réel, et conseils pratiques de remédiation avec lesquels nos développeurs peuvent travailler. Nous demandons que vous sépariez les vulnérabilités confirmées des observations à faible confiance afin que nous puissions prioriser correctement.
Après avoir traité les constatations, nous aurons besoin d'un retest : pour confirmer que chaque élément est effectivement corrigé et qu'aucun nouveau problème n'est apparu. La confidentialité est obligatoire — tout ce qui est trouvé reste strictement entre nous, les données de nos systèmes ne sont copiées nulle part. Veuillez décrire votre méthodologie, les normes que vous suivez, et un calendrier estimé pour l'audit y compris le retest.
Ce qui compte le plus pour nous :
— Couverture complète de l'OWASP Top 10, travail manuel plus automatisation
— Rapport avec niveaux de gravité et recommandations de remédiation
— Retest obligatoire pour confirmer les corrections
Programmation web Espèces, Virement bancaire
