Repère Sécurité Guides Audit, scan ou test d’intrusion
Audit, scan ou test d’intrusion : lequel vous faut-il ?
Trois travaux différents, souvent vendus sous des noms interchangeables. Ils ne cherchent pas la même chose, ne coûtent pas le même temps, et ne s’adressent pas au même besoin. Voici comment reconnaître le vôtre.
La réponse courte
À retenir
Un scan cherche des faiblesses connues, automatiquement, et vous rend une liste. Un audit examine un périmètre défini et vous rend des constats interprétés et priorisés. Un test d’intrusion cherche à exploiter réellement les faiblesses pour démontrer jusqu’où quelqu’un pourrait aller.
Le premier répond à « qu’est-ce qui est connu ? », le deuxième à « qu’est-ce qui compte, chez moi ? », le troisième à « jusqu’où peut-on aller ? ».
Le scan de vulnérabilités
Un outil parcourt le site et compare ce qu’il trouve à une base de faiblesses répertoriées. Il repère des versions dépassées, des réglages absents, des certificats mal configurés. C’est rapide, souvent gratuit, et c’est un bon point de départ.
Ses limites tiennent à sa nature. Un scanner ne connaît que ce qui est déjà catalogué : il ne verra pas une règle d’accès trop permissive propre à votre site, parce qu’aucune base ne peut savoir qui a le droit de voir quoi chez vous. Il ne comprend pas non plus la logique de votre activité : qu’un formulaire de devis accepte un montant négatif est un problème pour vous, pas une vulnérabilité répertoriée.
Il produit aussi des faux positifs : des signalements qui n’en sont pas dans votre contexte. Trier demande de connaître le site, et c’est précisément le travail qu’un scan ne fait pas.
Enfin, une sortie de scanner brute est difficilement exploitable par un dirigeant : c’est une liste technique, sans hiérarchie utile ni indication de ce qu’il faut traiter en premier.
L’audit de sécurité
Un audit part d’un périmètre défini et l’examine méthodiquement. Il peut s’appuyer sur des outils, mais l’essentiel est l’interprétation : qu’est-ce que ce constat signifie pour ce site-ci, quelle gravité lui donner, et par quoi commencer.
Un audit sérieux se réfère à des catégories reconnues. L’OWASP Top 10 classe les grandes familles de faiblesses des applications web ; c’est un référentiel largement employé pour structurer ce genre d’examen.
Ce qui distingue un audit d’un scan, ce n’est pas l’outil, c’est le jugement. Un constat sans contexte n’aide personne ; un constat replacé dans votre site, avec ce qu’il implique et ce qu’il faut faire, devient du travail.
Le test d’intrusion
Un test d’intrusion, ou pentest, va plus loin : il cherche à exploiter réellement les faiblesses, à les enchaîner, et à démontrer ce qu’un attaquant pourrait obtenir. C’est une simulation d’attaque, encadrée et autorisée.
Il répond à une question que ni le scan ni l’audit ne posent : est-ce exploitable, et jusqu’où ? C’est ce qu’exigent certains donneurs d’ordre, certains référentiels sectoriels, et certaines organisations avant une mise en production sensible.
Il demande un cadre plus lourd, plus de temps, et un budget qui n’a pas le même ordre de grandeur. Pour beaucoup de PME dont le site est une vitrine ou une petite boutique, c’est disproportionné — mais pour d’autres, c’est exactement ce qu’il faut.
Choisir
| Scan | Audit | Test d’intrusion | |
|---|---|---|---|
| La question posée | Qu’est-ce qui est connu ? | Qu’est-ce qui compte ici ? | Jusqu’où peut-on aller ? |
| Ce qui le mène | Un outil | Une personne, outillée | Une personne, offensivement |
| Interprétation | Aucune | Centrale | Centrale |
| Faux positifs | Fréquents, non triés | Triés | Écartés par la preuve |
| Livrable | Une liste | Des constats priorisés | Des scénarios démontrés |
| Autorisation | Requise dès qu’on sollicite un site | Périmètre écrit | Mandat détaillé, souvent plus strict |
| Bon quand… | Vous voulez un premier signal | Vous voulez savoir quoi corriger | Vous devez prouver l’exploitabilité |
Une remarque qui vaut pour les trois : solliciter un site qu’on ne possède pas demande une autorisation, quelle que soit la profondeur. Un outil gratuit qu’on lance sur l’adresse d’un tiers n’est pas anodin sous prétexte qu’il est automatique.
Où se situe Repère
Repère fait des audits. Chez nous, le périmètre et l’autorisation sont formalisés avant les contrôles qui dépassent l’observation de ce qui est public : le mandat nomme ce qui peut être examiné, ce qui est exclu, les contrôles autorisés, les limites et la période de validité.
Nous ne faisons pas de test d’intrusion au sens où l’entend ce guide. Si c’est ce qu’il vous faut, nous vous le dirons plutôt que de vous vendre autre chose — et il existe au Québec des équipes dont c’est le métier.
Nous ne faisons pas non plus de réponse à incident. Si votre site est compromis en ce moment, la bonne démarche n’est pas un audit.
En revanche, quand l’audit a eu lieu, Repère peut transformer les constats en corrections dans un second mandat. C’est une suite possible, jamais une obligation : le rapport est écrit pour être appliqué par votre propre développeur.