Qu'est-ce qu'une analyse de sécurité applicative ?
C'est une revue approfondie de votre logiciel à la recherche de faiblesses de sécurité : code non sécurisé, dépendances vulnérables, failles d'authentification et d'accès, points d'injection et exposition d'API. Vous obtenez un rapport noté par risque avec des exemples de preuve de concept et des correctifs clairs.
Quelle est la différence entre SAST et DAST ?
Le SAST (analyse statique) examine votre code source sans l'exécuter ; le DAST (analyse dynamique) teste l'application en cours d'exécution pour détecter les problèmes qui n'apparaissent qu'au runtime. Nous utilisons les deux, plus une revue manuelle, car chaque méthode trouve des problèmes que les autres manquent.
Signalez-vous seulement les problèmes ou pouvez-vous les corriger ?
Les deux options existent. La formule analyse livre le rapport ; la formule complète signifie que nous corrigeons les vulnérabilités, améliorons l'architecture de sécurité, durcissons la configuration, ajoutons des tests de sécurité à votre CI/CD et revérifions ensuite.
Est-ce un test d'intrusion ?
Cela se recoupe mais va plus loin. Un test d'intrusion se concentre sur l'exploitation de l'app en cours d'exécution depuis l'extérieur ; nous examinons aussi le code source, les dépendances et la conception de l'intérieur, ce qui révèle des causes profondes qu'un test en boîte noire seul manquerait. Nous pouvons indiquer si un test d'intrusion formel est aussi utile.
Vérifiez-vous nos bibliothèques et dépendances tierces ?
Oui. Le risque lié à la supply chain est une source majeure de compromissions, c'est pourquoi nous auditons vos bibliothèques et paquets tiers pour les vulnérabilités connues et les composants risqués ou abandonnés, et recommandons des mises à jour sûres.
Quelles plateformes et quels langages couvrez-vous ?
Nous évaluons des applications sous Windows, Linux et macOS, et un large éventail de langages et de frameworks, dont le web, le bureau, le serveur et les back-ends d'API. Indiquez-nous votre stack et nous confirmerons l'adéquation avant tout démarrage.
Les tests perturberont-ils notre application en production ou nos utilisateurs ?
L'analyse statique est totalement non perturbatrice. Pour les tests dynamiques, nous préférons un environnement de préproduction, et si nous devons tester en production, nous convenons d'abord de l'approche et du moment avec vous pour éviter tout impact sur les utilisateurs.
Comment gardez-vous notre code et nos données confidentiels ?
Nous travaillons via un accès sécurisé à moindre privilège, gérons votre code et vos identifiants avec soin et pouvons signer une NDA avant tout partage. Les constats vous sont livrés en privé et ne sont jamais divulgués ailleurs.
Combien de temps cela prend-il ?
Cela dépend de la taille et de la complexité de l'application. Après une première discussion de cadrage, nous vous donnons un calendrier clair, la remédiation étant planifiée séparément selon les constats.
Pouvez-vous intégrer les tests de sécurité dans notre pipeline ?
Oui. Dans le cadre de la formule complète, nous pouvons intégrer le SAST, l'analyse des dépendances et d'autres vérifications dans votre pipeline CI/CD afin que le nouveau code soit testé automatiquement et les problèmes détectés avant la mise en production.
Obtiendrons-nous quelque chose à montrer à des auditeurs ou des clients ?
Oui. Le rapport documente ce qui a été testé, les notes de risque, la preuve de concept et la remédiation, ce qui constitue une preuve utile pour les questionnaires de sécurité, la due diligence et vos propres clients.
Comment se déroule la demande de devis ?
Parlez-nous de votre application et choisissez l'option adaptée. Nous l'examinons et vous envoyons un devis sur mesure à périmètre fixe, généralement sous un jour ouvré. C'est gratuit et sans engagement.