Quelle différence entre un audit technique d'application, un pentest et un audit SEO ?
Un audit technique dit dans quel état est votre application (code, dépendances, hébergement, sauvegardes, accès) pour décider de la suite. Un audit de sécurité et un pentest cherchent ce qu'un attaquant pourrait exploiter, le pentest en tentant réellement l'attaque, et un audit SEO mesure la visibilité du site dans les moteurs de recherche. Give me the code réalise l'audit technique, première étape logique, mais ne réalise ni test d'intrusion ni audit SEO.
Mis à jour le .
Qu'est-ce qu'un audit technique et patrimonial d'application ?
Un audit technique et patrimonial est un état des lieux d'une application web : il établit ce qu'elle contient, dans quel état elle est et ce que sa correction ou sa reprise demanderait.
- Ce qu'il vérifie. La lisibilité du code et la dette technique, les versions des dépendances (fins de support, failles connues), l'hébergement, les sauvegardes (et si une restauration a déjà été testée), les accès et le nom des contrats.
- Ce qu'il ne vérifie pas. Il ne tente pas d'attaquer l'application. Il relève les failles connues des dépendances, mais il ne remplace ni un audit de sécurité complet ni un test d'intrusion. Il ne mesure pas non plus le référencement.
- Qui le réalise. Un développeur ou un ingénieur infrastructure expérimenté. C'est l'audit que réalise Give me the code, à 3 000 € HT, à prix fixe, livré en 3 semaines.
- Le livrable. Une synthèse d'une page pour le dirigeant, un registre des risques priorisé et un plan de remédiation chiffré en lots indépendants, réutilisable par n'importe quel prestataire.
Le détail de l'offre est sur la page Audit technique d'application web à prix fixe.
Qu'est-ce qu'un audit de sécurité d'application ?
Un audit de sécurité est une revue méthodique des défenses d'une application et de son environnement, pour repérer ses faiblesses avant qu'un attaquant ne le fasse.
- Ce qu'il vérifie. La configuration, la gestion des accès et des droits, la protection des données, les correctifs de sécurité appliqués et le respect des bonnes pratiques de sécurité.
- Ce qu'il ne vérifie pas. Il ne prouve pas qu'une attaque réussirait en pratique, c'est le rôle du pentest. Il ne dit pas non plus si le code est maintenable ni si l'application vaut la peine d'être conservée.
- Qui le réalise. Un prestataire spécialisé en sécurité. Give me the code ne réalise pas d'audit de sécurité complet. En France, l'ANSSI publie un référentiel d'exigences (PASSI) qui permet de qualifier les prestataires d'audit de la sécurité des systèmes d'information.
- Le livrable. Un rapport des vulnérabilités constatées, avec des recommandations de correction.
Qu'est-ce qu'un pentest (test d'intrusion) ?
Un pentest, ou test d'intrusion, est une attaque simulée, autorisée et encadrée, qui cherche à exploiter réellement les failles d'une application pour montrer ce qu'un attaquant pourrait faire.
- Ce qu'il vérifie. Si les failles sont réellement exploitables, et jusqu'où un attaquant pourrait aller. Le périmètre testé est défini à l'avance.
- Ce qu'il ne vérifie pas. L'état général du code, la qualité de l'hébergement, les sauvegardes ou la propriété des accès. Il ne couvre que le périmètre convenu, à la date du test.
- Qui le réalise. Des spécialistes de la sécurité offensive. Give me the code ne réalise pas de test d'intrusion. Le référentiel PASSI de l'ANSSI prévoit une qualification pour cette activité.
- Le livrable. Un rapport des failles exploitées, avec les preuves et les correctifs recommandés.
Un pentest éprouve la défense d'une application. Il est donc plus utile quand l'application est déjà en bon état général.
Qu'est-ce qu'un audit SEO ?
Un audit SEO est une analyse de la visibilité d'un site dans les moteurs de recherche, qui identifie ce qui freine son référencement naturel.
- Ce qu'il vérifie. Selon le guide de francenum.gouv.fr, trois piliers : la technique (vitesse de chargement, compatibilité mobile, exploration par Google, robots.txt, erreurs 404, redirections), le contenu (balises de titre, méta-descriptions, réponse aux intentions de recherche, contenu dupliqué) et la popularité (les liens d'autres sites vers le vôtre).
- Ce qu'il ne vérifie pas. La sécurité de l'application, l'état des dépendances, les sauvegardes, la propriété des accès ou la qualité du code métier.
- Qui le réalise. Un consultant ou une agence en référencement. Le même guide décrit trois approches : en autonomie avec des outils gratuits, avec un coach SEO, ou par un professionnel. Give me the code ne réalise pas d'audit SEO.
- Le livrable. Une liste d'actions de référencement, classées par impact.
Audit technique, audit de sécurité, pentest et audit SEO : le tableau comparatif
Chaque audit répond à une seule question : dans quel état est l'application, quelles sont ses faiblesses, une attaque peut-elle réussir, ou le site est-il visible. Aucun ne remplace les autres.
| Type d'audit | Question à laquelle il répond | Ce qu'il vérifie | Ce qu'il ne vérifie pas | Qui le réalise | Livrable |
|---|---|---|---|---|---|
| Audit technique et patrimonial | Dans quel état est l'application, et que faire : corriger, reprendre ou refondre ? | Code, dépendances, hébergement, sauvegardes, accès. | Une attaque réelle, la sécurité en profondeur, le référencement. | Développeur ou ingénieur infrastructure. Réalisé par Give me the code. | Synthèse dirigeant, registre des risques priorisé, plan de remédiation chiffré en lots. |
| Audit de sécurité | Quelles faiblesses de sécurité l'application présente-t-elle ? | Configuration, gestion des accès, failles connues, bonnes pratiques de sécurité. | Si une attaque réussit en pratique, l'état général du code, le référencement. | Prestataire spécialisé en sécurité. Non réalisé par Give me the code. | Rapport de vulnérabilités avec recommandations de correction. |
| Test d'intrusion (pentest) | Une attaque peut-elle réussir, et jusqu'où ? | L'exploitation réelle des failles, sur un périmètre défini à l'avance. | L'état général du code, les sauvegardes, les accès, ce qui est hors périmètre. | Spécialistes de la sécurité offensive. Non réalisé par Give me the code. | Rapport des failles exploitées, avec preuves et correctifs. |
| Audit SEO | Le site est-il bien visible dans les moteurs de recherche ? | Technique du site, contenu, popularité (liens entrants). | La sécurité, les dépendances, les sauvegardes, les accès. | Consultant ou agence en référencement. Non réalisé par Give me the code. | Liste d'actions de référencement classées par impact. |
Quel audit choisir selon votre situation ?
Dans la plupart des cas, l'audit technique vient en premier : il dit ce qu'il faut réparer avant d'investir dans une analyse de sécurité plus poussée. L'audit SEO fait exception, car il répond à une autre question.
- Votre agence ne répond plus. Commencez par l'audit technique. Il établit où se trouve le code, qui détient les accès (hébergeur, nom de domaine, dépôt de code) et dans quel état est l'application. Un pentest ou un audit SEO n'ont aucun intérêt tant que vous ne savez pas ce que vous possédez.
- Votre application a dix ans et n'a jamais été auditée. Audit technique d'abord, pour repérer les versions obsolètes et décider de corriger, reprendre ou refondre. Un audit de sécurité vient ensuite, si l'application traite des données sensibles.
- Votre site n'amène pas de clients. Commencez par un audit SEO, réalisé par un spécialiste du référencement. Si le site est lent, instable ou mal hébergé, un audit technique complète le diagnostic.
- Un client ou un assureur exige des garanties de sécurité. Demandez d'abord ce qui est exigé exactement : un audit, un pentest ou une attestation. Faites ensuite l'audit technique pour corriger l'existant, puis confiez l'audit de sécurité ou le pentest à un prestataire spécialisé, sur une application remise à niveau.
- Votre application est en bon état, exposée sur Internet, et traite des données de clients. Un audit de sécurité est la suite logique. Le pentest vient en dernier, pour éprouver une défense déjà solide.
L'ordre habituel est donc le même : audit technique, puis audit de sécurité, puis pentest. Réservons un échange de 30 minutes pour voir où vous en êtes : prendre contact.
Questions fréquentes sur ces audits
Un audit technique peut-il remplacer un pentest ?
Non. L'audit technique relève l'état du code, des dépendances, de l'hébergement et des sauvegardes, et signale les failles connues. Il ne simule pas d'attaque. Seul un test d'intrusion montre si une faille est réellement exploitable, et Give me the code n'en réalise pas.
Faut-il faire un audit technique avant un pentest ?
Ce n'est pas obligatoire, mais c'est souvent utile. L'audit technique remet à niveau les versions obsolètes et clarifie le périmètre, de sorte que le test d'intrusion porte sur une application en état d'être éprouvée plutôt que sur des défauts déjà visibles.
Comment choisir le prestataire d'un test d'intrusion ?
Demandez un périmètre écrit, un exemple de rapport et la qualification du prestataire. L'ANSSI publie un référentiel d'exigences PASSI dont la qualification peut être délivrée pour les tests d'intrusion. Une qualification n'est pas toujours exigée, mais c'est un repère de confiance.
Peut-on faire un pentest sur une application ancienne et mal documentée ?
Oui, mais le périmètre est plus difficile à écrire quand personne ne sait ce que l'application contient. Un audit technique d'abord fournit cette cartographie, ainsi que la liste des accès et des composants à tester.
Mon site est lent et peu visible : audit technique ou audit SEO ?
Cela dépend de l'origine du problème. Si la lenteur vient de l'application ou de l'hébergement, l'audit technique la localise. Si elle vient des contenus, de l'indexation ou des liens entrants, c'est l'audit SEO. En cas de doute, l'échange gratuit de 30 minutes permet de trancher.