Devis de sécurité web : comparer le périmètre avant le prix

Un site inclut-il le portail client ?

Imaginons un site vitrine, un portail client et une API sur des hôtes distincts. Un devis ne nommant que le site vitrine ne précise pas si les autres sont inclus. C’est un exemple d’achat, pas un cas client. Envoyez les URL et demandez une confirmation écrite de la cible couverte.

Demandez aussi si des comptes seront utilisés. Observer les pages publiques et comparer deux rôles clients impliquent des accès et des tâches différents. Le terme « sécurité web » ne précise pas cela. Un contrôle public ne peut pas déterminer si un client peut voir les commandes d’un autre.

Un résultat exploitable par le développeur

Avant de payer, demandez un exemple de rapport expurgé. Cherchez l’emplacement affecté, les conditions observées, les preuves sans valeurs sensibles, l’impact possible et la correction proposée. Une capture sans conditions peut être difficile à reproduire. Une longue liste d’alertes peut laisser au développeur le tri des faux positifs.

Le rapport doit aussi indiquer ce qui n’a pas été vérifié. Demandez comment les résultats incertains sont signalés et qui examine les preuves. Le nombre de pages ou de failles ne remplace pas ces réponses. Même sans vulnérabilité trouvée, le résultat doit préciser son périmètre et ses limites, sans certifier tout le système.

Ce que couvre le contrôle Mingxi à US$120

Le forfait concerne une cible publique convenue, site ou API, sans connexion. Sous-domaines, autres applications et actifs supplémentaires ne sont pas inclus automatiquement. Il porte sur l’exposition publique convenue, la configuration de base et les risques courants vérifiables. Un ingénieur examine preuves, gravité et recommandations. Code source, fonctions connectées, rôles multiples et logique métier sont exclus.

Le PDF est envoyé par e-mail dans la langue convenue. Les deux jours ouvrés commencent après confirmation de la propriété, de l’autorisation, du périmètre, des éléments nécessaires et du paiement. Le retest n’est pas inclus par défaut ; son périmètre et son prix sont à convenir séparément. Lisez les conditions actuelles avant de commander.

Conserver l’accord avec le rapport

Gardez la cible acceptée, les exclusions, le livrable, les conditions de démarrage et le destinataire. Ajoutez les règles d’annulation et de planning réellement convenues. Ne transformez pas une absence de précision en engagement supposé.

Après correction, conservez la version déployée et le constat correspondant. Demandez quelles preuves fournira un retest commandé séparément. Un nouveau scan sans alerte de l’accueil ne prouve pas la correction d’un autre point d’accès affecté.

Liste pratique

• Envoyer les URL et demander les exclusions.
• Confirmer l’utilisation éventuelle de comptes.
• Lire un exemple et les conditions de démarrage.
• Noter les conditions de retest et d’annulation avant paiement.

Question fréquente

Un contrôle peu cher est-il forcément inutile ?

Non. Un petit contrôle bien délimité peut convenir à un site public simple. Vérifiez s’il répond à votre question de risque. Il ne remplace pas une évaluation nécessitant des comptes, le code source ou des tests de logique métier.