Tests D'intrusion UK - Ce Qu'attendre en 2026

Les recherches de services de tests d’intrusion au Royaume-Uni ont augmenté de plus de 35 % entre 2023 et 2025, portées par une combinaison d’incidents de ransomware, d’obligations réglementaires de plus en plus strictes et d’une vague d’assureurs exigeant des preuves de tests de sécurité actifs avant d’émettre des polices cyber. Malgré cette demande, il subsiste une grande confusion sur ce qu’est réellement un test d’intrusion, en quoi il diffère d’une analyse de vulnérabilités, et ce que cela coûte correctement.

Ce guide couvre l’ensemble du tableau : ce que les tests d’intrusion sont et ne sont pas, les principaux types, le déroulement du processus, ce que les résultats doivent contenir, quelles certifications comptent au Royaume-Uni, et des fourchettes de coûts réalistes pour 2026.

En résumé

• Un test d’intrusion est une simulation d’attaque par un testeur autorisé utilisant les mêmes techniques que de vrais attaquants. Ce n’est pas la même chose qu’une analyse de vulnérabilités, qui est automatisée et ne peut pas chaîner les vulnérabilités ni évaluer l’impact réel.
• Les testeurs chaînent plusieurs vulnérabilités pour démontrer l’impact réel, pas simplement lister les problèmes individuels. C’est ce qui rend la méthodologie distincte et précieuse.
• Au Royaume-Uni, PCI DSS impose des tests d’intrusion annuels, et l’article 32 du RGPD britannique, ISO 27001 et les recommandations du NCSC pointent tous vers des tests d’intrusion réguliers comme preuve de contrôles techniques adéquats.
• Pour les prestataires accrédités CREST, recherchez les qualifications CRT (application web), CCT App (application web) ou CCT Inf (infrastructure). Pour les travaux dans le secteur public, le schéma CHECK s’applique.

Ce qu’est un test d’intrusion (et ce qu’il n’est pas)

Un test d’intrusion est une simulation structurée et autorisée d’une attaque contre une cible définie. Le testeur utilise les mêmes outils, techniques et processus de pensée qu’un attaquant malveillant, mais opère dans un périmètre et des règles d’engagement convenus. L’objectif est d’identifier les vulnérabilités et de démontrer leur exploitabilité dans le monde réel avant qu’un véritable attaquant ne le fasse.

Une analyse de vulnérabilités n’est pas un test d’intrusion. Un scanner automatisé interroge les systèmes par rapport à une base de données de vulnérabilités connues et produit une liste de résultats. Il est rapide et répétable, mais il ne peut pas raisonner sur le contexte, enchaîner des résultats, évaluer la logique métier, ni démontrer l’impact réel de ce qu’il trouve. De nombreuses organisations confondent les deux, et certains fournisseurs brouillent délibérément la limite. Si un fournisseur vous fait un devis pour des “tests d’intrusion” et que la mission repose entièrement sur un outil sans analyse manuelle, vous avez acheté une analyse de vulnérabilités à prix premium.

La distinction importe concrètement. Une analyse de vulnérabilités pourrait signaler que votre application a un formulaire de connexion sans verrouillage de compte. Un test d’intrusion va plus loin : le testeur tente d’exploiter cela en combinaison avec une faille d’énumération de noms d’utilisateur et un jeton de session prévisible pour démontrer une chaîne de prise de contrôle complète du compte. C’est la différence entre lister un risque et le prouver.

Types de tests d’intrusion

Par niveau de connaissance. Les tests sont typiquement décrits comme boîte noire, boîte grise ou boîte blanche, selon la quantité d’informations fournie au testeur au départ :

• Boîte noire : le testeur commence sans connaissance préalable de la cible, simulant un attaquant externe qui a effectué sa propre reconnaissance. Le plus proche d’un scénario d’attaque réel mais peut être inefficace en termes de temps car le testeur passe du temps d’engagement sur des tâches (comme la cartographie de l’application) que vous pourriez fournir.
• Boîte grise : le testeur reçoit certaines informations, généralement des identifiants utilisateur et de la documentation, mais pas le code source ni les diagrammes d’architecture complets. Le choix le plus courant pour les tests d’applications web car il équilibre réalisme et efficacité.
• Boîte blanche : le testeur dispose d’un accès complet incluant le code source, la documentation d’architecture et les diagrammes d’infrastructure. Utilisé pour les évaluations complètes et les revues de code portées par la conformité. Trouve la plus grande proportion de vulnérabilités mais nécessite le plus de préparation de votre équipe.

Par type de cible. Les catégories courantes incluent :

• Test d’intrusion réseau : infrastructure externe ou interne, règles de pare-feu, configuration VPN, possibilités de mouvement latéral
• Test d’intrusion d’application web : OWASP Top 10 et au-delà, y compris l’authentification, la gestion des sessions, la validation des entrées et la logique métier
• Test d’intrusion API : endpoints REST et GraphQL, contournement d’authentification, affectation de masse, limitation de débit et exposition de données
• Test d’intrusion d’application mobile : applications Android et iOS, stockage de données non sécurisé, contournement de l’épinglage de certificat et problèmes d’API backend exposés via la couche mobile
• Ingénierie sociale : simulation de phishing, pretexting et vishing (phishing vocal) pour tester votre couche humaine
• Test d’intrusion physique : tailgating, clonage RFID, contournement du contrôle d’accès, ciblage des locaux physiques

La plupart des entreprises britanniques commencent par un test d’application web ou réseau et élargissent la portée à mesure que leur programme de sécurité mûri.

Le processus de test d’intrusion

Un test d’intrusion rigoureux suit une méthodologie définie. Les frameworks CREST et PTES (Penetration Testing Execution Standard) décrivent tous deux une séquence similaire :

Périmètre et règles d’engagement

Avant le début des tests, vous et le prestataire convenez de la cible, du type de test, des fenêtres de test (certaines organisations exigent des tests en dehors des heures de bureau pour éviter un impact sur la production), des procédures d’escalade en cas de découverte d’un résultat critique en cours de test, et de ce qui est explicitement hors périmètre. Obtenez cela par écrit. Une lettre d’autorisation protège les deux parties.

Reconnaissance

Le testeur rassemble des informations sur la cible par des moyens passifs (renseignement en sources ouvertes, journaux de transparence des certificats, offres d’emploi révélant la pile technologique, identifiants fuitées dans des bases de données de violations) et des moyens actifs (énumération DNS, scan de ports, empreinte de services). Dans un test en boîte noire, cette phase peut occuper une part significative du temps d’engagement.

Exploitation

Le testeur tente d’exploiter les vulnérabilités identifiées pour obtenir un accès initial ou démontrer un impact. C’est là que la méthodologie diverge du scanning : un testeur qualifié essaie plusieurs voies, s’adapte quand un chemin est bloqué, et cherche des combinaisons de problèmes de moindre gravité qui produisent ensemble un résultat à fort impact.

Post-exploitation et enchaînement de vulnérabilités

C’est la phase que la plupart du marketing des fournisseurs ignore. Après avoir obtenu un accès initial, que peut réellement faire un attaquant ? Un testeur évaluant une application web pourrait enchaîner une vulnérabilité XSS avec une faille CSRF et un identifiant de session prévisible pour démontrer une prise de contrôle complète du compte. Sur l’infrastructure, la post-exploitation implique l’escalade de privilèges, le mouvement latéral et la détermination des données ou systèmes accessibles depuis le point d’appui initial.

L’enchaînement est crucial car il recadre le risque. Un résultat individuel noté CVSS 5.5 (Moyen) devient une conversation différente quand vous pouvez montrer qu’il est exploitable en combinaison avec deux autres pour exfiltrer votre base de données clients.

Rapport

Le testeur documente tous les résultats, rédige le rapport et le livre dans le délai convenu (généralement cinq à dix jours ouvrables après la fin des tests). Ce que le rapport contient est couvert dans la section suivante.

Ce que contient un rapport de test d’intrusion de qualité

Un rapport professionnel de test d’intrusion est un document de travail pour votre équipe, pas un outil de vente pour le prestataire. Il doit contenir :

Résumé exécutif. Un aperçu non technique de la mission, la posture de risque globale, le nombre et la gravité des résultats, et les problèmes les plus critiques. Rédigé pour un lecteur de niveau direction qui doit prendre des décisions, pas un développeur qui doit corriger du code.

Périmètre et méthodologie. Ce qui a été testé, comment ça a été testé, et toute limitation (par exemple, si certaines URL ont été exclues ou si les tests étaient limités aux heures de bureau).

Résultats classés par risque. Chaque vulnérabilité listée avec une cote de gravité. La plupart des prestataires britanniques professionnels utilisent des scores CVSS 3.1 aux côtés d’une cote de risque contextuelle qui tient compte de votre environnement spécifique. Un score CVSS isolé peut induire en erreur ; un résultat 7.5 sans vecteur d’accès externe est un risque différent du même score sur un endpoint accessible au public.

Détails techniques et étapes de reproduction. Suffisamment d’informations pour que vos développeurs reproduisent le résultat, comprennent pourquoi il est exploitable, et confirment que leur correctif fonctionne. Cela signifie : requêtes et réponses exactes, charges utiles utilisées, captures d’écran si utile.

Guide de remédiation. Conseils spécifiques et actionnables pour chaque résultat. Pas “mettez à jour vos dépendances” mais “mettez à jour la bibliothèque X de la version 2.3.1 à 2.4.0 et supprimez l’appel de sérialisation obsolète à la ligne 247 de UserController.php.”

Déclaration de retest. Confirmation de l’inclusion ou non d’un retest, et si oui, comment les résultats seront clos. Un résultat n’est pas résolu tant qu’un testeur ne le confirme pas.

Obligations de conformité britanniques pour les tests d’intrusion

PCI DSS. Toute entreprise qui traite, stocke ou transmet des données de titulaires de carte doit effectuer des tests d’intrusion au moins annuellement et après tout changement significatif d’infrastructure ou d’application. PCI DSS v4.0, devenu la seule version active en mars 2024, inclut des exigences mises à jour pour le périmètre et la méthodologie des tests d’intrusion. C’est une exigence obligatoire, pas une recommandation.

RGPD britannique Article 32. Oblige les organisations à mettre en œuvre des mesures techniques appropriées pour assurer une sécurité adaptée au risque. Les tests d’intrusion sont le moyen le plus direct de démontrer que vous avez activement évalué si vos contrôles techniques fonctionnent. L’ICO a référencé les tests de sécurité dans des décisions d’exécution.

ISO 27001. Le contrôle 8.8 de l’annexe A couvre la gestion des vulnérabilités techniques, et les tests d’intrusion sont une méthode standard pour satisfaire ce contrôle. Si vous visez la certification ISO 27001, votre auditeur s’attendra à voir des preuves de tests.

Cyber Essentials Plus. Le niveau supérieur du schéma Cyber Essentials du gouvernement britannique inclut une évaluation sur site et un scan de vulnérabilités. Bien que Cyber Essentials Plus ne soit pas un test d’intrusion, l’obtenir et maintenir la base qu’il établit est un prérequis sensé.

Recommandations du NCSC. Le National Cyber Security Centre recommande les tests d’intrusion dans le cadre de son référentiel “10 étapes pour la cybersécurité”, spécifiquement sous les étapes “Gestion des vulnérabilités” et “Sécurité réseau”.

Certifications CREST et pourquoi elles comptent

CREST est le principal organisme d’accréditation britannique pour les entreprises de tests d’intrusion et les testeurs individuels. Les prestataires enregistrés CREST sont évalués sur leurs processus, leur méthodologie et leur capacité à traiter les données sensibles de manière appropriée. Les testeurs individuels peuvent détenir les qualifications suivantes :

• CREST Registered Tester (CRT) : certification de niveau entrée démontrant une compétence technique dans les tests d’application web ou d’infrastructure.
• CREST Certified Tester - Application (CCT App) : certification avancée pour les tests d’intrusion d’applications web. Requiert la réussite d’un examen pratique.
• CREST Certified Tester - Infrastructure (CCT Inf) : certification équivalente pour les tests réseau et infrastructure.

Pour les organismes publics britanniques, le schéma CHECK s’applique. CHECK est un schéma géré par le NCSC exigeant que les testeurs d’intrusion détiennent le statut CHECK Team Member ou CHECK Team Leader. Si vous êtes un département gouvernemental, un organisme NHS ou une autorité locale, votre prestataire doit détenir le statut CHECK.

Lors de l’évaluation des prestataires, demandez à voir les certifications spécifiques détenues par les testeurs qui travailleront sur votre mission, pas les certifications détenues par les membres seniors de l’équipe de l’entreprise. La personne qui rédige votre rapport et effectue votre test est la certification qui compte.

À quelle fréquence devriez-vous tester ?

La bonne réponse dépend de votre profil de risque, mais les minimums pratiques sont :

• Annuellement au minimum pour toute application exposée sur internet traitant des données personnelles ou de paiement
• Après les versions majeures qui introduisent de nouvelles fonctionnalités, de nouveaux flux d’authentification ou de nouvelles intégrations
• Avant la mise en production avec un nouveau produit, application ou service qui traitera des données personnelles ou de paiement pour la première fois
• Après un incident de sécurité, pour comprendre si l’attaquant a laissé des mécanismes de persistance ou exploité des vulnérabilités qui n’ont pas encore été fermées
• Quand votre profil de risque change, par exemple après une fusion, une acquisition ou une expansion significative de votre base d’utilisateurs

Coûts des tests d’intrusion au Royaume-Uni

Les tarifs reflètent les prix du marché britannique en 2026. Les devis nettement inférieurs à ces fourchettes indiquent généralement un scan automatisé avec une analyse manuelle minimale.

Le service de test d’intrusion Mecanik couvre les tests d’applications web, d’API et d’infrastructure pour les entreprises britanniques, en utilisant la méthodologie PTES et OWASP, avec des exploits de preuve de concept et un rapport de remédiation priorisé.

Points clés

• Un test d’intrusion est une simulation manuelle et autorisée d’une attaque. Il est catégoriquement différent d’un scan de vulnérabilités automatisé.
• Les testeurs chaînent plusieurs vulnérabilités pour démontrer un impact réel, pas simplement énumérer les problèmes individuels de façon isolée.
• Les obligations de conformité britanniques (PCI DSS, RGPD britannique Article 32, ISO 27001, recommandations NCSC) pointent toutes vers des tests d’intrusion réguliers comme pratique de sécurité de base.
• Un rapport de qualité contient des résultats classés par risque, des étapes de reproduction techniques, des scores CVSS avec des côtés contextuelles, et des conseils de remédiation spécifiques pour chaque problème.
• Pour les certifications, recherchez CREST CRT, CCT App ou CCT Inf pour les testeurs individuels de votre mission. Pour le secteur public, le statut du schéma CHECK est requis.
• Testez annuellement au minimum, après les versions majeures, et avant la mise en production de tout nouveau service traitant des données personnelles ou de paiement.

Articles en relation: Types de tests d’intrusion : black, white et grey box , Guide d’audit de sécurité de site web pour les entreprises , Coût des tests d’intrusion : guide de budgétisation entreprise 2026 , Audit de sécurité de site web : prévenir les fuites de données .

Questions fréquemment posées (FAQ)

Quelle est la différence entre un test d’intrusion et une analyse de vulnérabilités ? Une analyse de vulnérabilités utilise des outils automatisés pour vérifier les systèmes par rapport à une base de données de problèmes connus. Un test d’intrusion implique un testeur humain qui raisonne sur la cible, enchaîne les vulnérabilités et démontre l’exploitabilité réelle. Les analyses sont rapides et utiles pour établir une base de référence ; elles ne remplacent pas les tests manuels.

Combien de temps dure un test d’intrusion ? Un test d’application web pour un site de complexité moyenne dure généralement trois à cinq jours de temps de test. Les grandes applications, les missions en boîte blanche avec revue de code source, ou les tests d’infrastructure sur de nombreux hôtes prennent plus de temps. La conversation de cadrage et la rédaction du rapport ajoutent du temps supplémentaire, prévoyez donc deux à quatre semaines du début de la mission à la livraison du rapport final.

Dois-je informer mon hébergeur avant un test d’intrusion ? Vérifiez les conditions d’utilisation de votre hébergeur ou fournisseur cloud. AWS, Azure et GCP autorisent tous les tests d’intrusion sur vos propres ressources sans notification préalable pour la plupart des services, bien que certaines restrictions s’appliquent. Les hébergeurs mutualisées exigent souvent un préavis. Votre prestataire de test d’intrusion devrait confirmer cela lors du cadrage.

Que se passe-t-il si le testeur trouve une vulnérabilité critique pendant le test ? Vos règles d’engagement doivent définir une procédure d’escalade pour les résultats critiques. Un testeur sérieux vous contactera immédiatement plutôt qu’attendre le rapport. Vous décidez ensuite si vous pausez les tests pendant la remédiation, continuez avec ce résultat documenté, ou ajustez le périmètre.

Un test d’intrusion peut-il causer une interruption de service ? La plupart des techniques de test sont non destructives et ne causent pas d’interruption de service. Les tests de déni de service nécessitent un accord explicite et sont généralement conduits en dehors des heures de bureau. Votre testeur doit discuter du risque de toute technique potentiellement perturbatrice avant de la tenter.

Comment vérifier les certifications d’un testeur d’intrusion CREST ? CREST maintient un registre public des entreprises enregistrées et des personnes certifiées sur crest-approved.org. Recherchez par nom d’entreprise ou de testeur pour vérifier le statut. Pour CHECK, le NCSC publie une liste de prestataires de services approuvés CHECK.