Test de pénétration d'application Web

Nous lançons une application web qui gère les comptes utilisateurs, les paiements et les documents téléchargés, et avant de l'ouvrir au public, nous souhaitons un contrôle de sécurité indépendant. Nos propres développeurs ont suivi de bonnes pratiques, mais ils sont proches du code et peuvent avoir des angles morts. Nous avons besoin d'un spécialiste pour examiner l'application comme le ferait un attaquant et nous dire honnêtement où elle peut être compromise.

Le périmètre est un test de pénétration de base de la couche web : authentification et gestion des sessions, contrôle d'accès entre les rôles utilisateurs, validation des entrées, et les suspects habituels tels que l'injection, le cross-site scripting, les références d'objet direct non sécurisées et les faiblesses de téléchargement de fichiers. Nous pouvons fournir des comptes de test à différents niveaux de privilège et une copie de staging afin que rien ne touche les données clients en direct. Nous aimerions également un rapide aperçu des en-têtes de sécurité, des indicateurs de cookies et des flux de réinitialisation de mot de passe.

Le livrable le plus important est le rapport. Nous ne voulons pas d'un simple dump de scanner ; nous voulons que chaque constat soit décrit en langage clair avec sa gravité, un exemple concret de la manière dont il est exploité, l'impact potentiel, et une recommandation claire sur la façon de le corriger. Un court résumé exécutif pour la direction et une section technique pour les développeurs seraient idéaux. Veuillez nous indiquer votre méthodologie, combien de temps le travail prend approximativement, et comment vous gérez les constatations sensibles de manière responsable.