Quatre étapes, traversées par un seul fil, du premier appel au retest.
Vous décrivez votre environnement, qui l’utilise et ce qui ferait le plus mal en cas de problème. Nous revenons avec un périmètre, un calendrier et un prix. Si un test plus petit répond à votre question, nous le disons.
Un travail manuel dans des créneaux convenus, avec un contact nommé de votre côté et un moyen convenu de mettre le test en pause à tout moment. Un constat critique est signalé dès qu’il est confirmé, avec un contournement s’il en existe un, plutôt que gardé pour le rapport.
Un document, deux lecteurs. La première page s’adresse à ceux qui décident : ce qui a été trouvé, ce que cela signifie, quoi faire en premier. Le reste s’adresse à ceux qui corrigent : le chemin d’attaque, la preuve, la remédiation. Nous le présentons aux deux.
Une fois les correctifs en place, nous repassons sur chaque constat et mettons le rapport à jour avec ce qui a tenu et ce qui n’a pas tenu. Le retest fait partie de la mission.
Le terrain bouge vite. L’IA a fait augmenter à la fois le nombre de vulnérabilités découvertes et la vitesse à laquelle elles sont exploitées, et les tests doivent suivre le même rythme. Voici les chiffres, tirés des rapports du secteur, autour desquels nous construisons les missions.
Temps moyen, en 2025, pour qu’un intrus passe de la première machine compromise à la suivante. Le plus rapide observé : 27 secondes.
Ce que cela change dans un test La détection se teste comme un exercice chronométré, pas comme une liste de contrôle. C’est le rôle d’une Purple Team.
CrowdStrike Global Threat Report 2026Part des intrusions détectées en 2025 sans aucun logiciel malveillant : comptes valides, outils intégrés, sessions volées.
Ce que cela change dans un test L’identité, les sessions et les permissions sont testées aussi en profondeur que le code.
CrowdStrike Global Threat Report 2026Part des compromissions qui ont commencé par une vulnérabilité exploitée, contre 14,9 % l’année précédente.
Ce que cela change dans un test Les systèmes et équipements exposés sur Internet sont testés en premier, pas en dernier.
Verizon Data Breach Investigations Report 2025Part d’une campagne d’intrusion étatique menée par un agent d’IA, des humains n’intervenant qu’à une poignée de points de décision.
Ce que cela change dans un test L’IA est désormais des deux côtés. Nous testons les systèmes que vous construisez sur des modèles de langage, et nous utilisons l’IA dans nos propres outils là où elle nous fait gagner du temps.
Anthropic, novembre 2025Hausse sur un an des vulnérabilités zero-day exploitées avant leur divulgation publique, en 2025.
Ce que cela change dans un test Les systèmes exposés sur Internet sont testés comme si la prochaine faille était déjà connue de quelqu’un. Mettre à jour n’est pas un plan à lui seul.
CrowdStrike Global Threat Report 2026Part des compromissions impliquant un tiers, le double de l’année précédente.
Ce que cela change dans un test Les API, les intégrations et les tiers sont abordés au cadrage, pas après coup.
Verizon Data Breach Investigations Report 2025Nous gardons le rythme des attaquants pour que votre test reflète les attaquants d’aujourd’hui, pas ceux d’il y a cinq ans.
Les attaquants ne suivent pas de liste de contrôle, mais ceux qui corrigent en ont besoin d’une. Les constats renvoient aux référentiels que vos ingénieurs et vos auditeurs connaissent déjà. L’ensemble ci-dessous est le point de départ habituel ; la mission décide lesquels s’appliquent.
Répondues ici pour que l’appel aille plus loin.