Recherche en sécurité & analyses

Analyses approfondies, divulgations et retours de terrain de nos missions de sécurité offensive - rédigés par l'équipe qui trouve les failles.

AI Security

Prompt Injection et le Top 10 OWASP LLM : sécuriser les applications d’IA

La prompt injection occupe la première place du Top 10 OWASP LLM, et ce n’est pas un hasard. Voici comment fonctionnent les attaques directes et indirectes, ce qu’elles font aux applications agentiques et les défenses sur lesquelles nous nous appuyons vraiment.

16 juin 202615 min de lecture

Lire l'article

Active Directory

L’attaque Kerberoasting expliquée : d’un utilisateur AD ordinaire au Domain Admin

Une attaque Kerberoasting transforme un unique compte de domaine à faibles privilèges en identifiants de compte de service cassés, et souvent en Domain Admin. Voici la chaîne complète et les correctifs qui fonctionnent vraiment.

6 mai 202614 min de lecture

Cloud Security

De la SSRF à la prise de contrôle d’un compte cloud : attaquer le service de métadonnées

Une seule faille SSRF dans un récupérateur d’URL peut atteindre le point d’accès des métadonnées cloud, voler les identifiants de rôle IAM et aboutir à une prise de contrôle totale du compte. Voici la chaîne d’attaque – et comment la briser.

27 mars 202612 min de lecture

API Security

Broken Object-Level Authorization (BOLA / IDOR) : la faille d’API que nous rencontrons le plus

Une vulnérabilité BOLA (aussi appelée IDOR) est la faille que nous signalons le plus souvent lors des tests d’API. Voici comment nous la traquons en échangeant les ID d’objets entre deux comptes, et comment la neutraliser grâce à une autorisation côté serveur.

18 févr. 202614 min de lecture

Guides

Combien coûte un test d’intrusion en 2026 ? (Une analyse honnête)

Une réponse directe sur le coût d’un test d’intrusion en 2026 : les vrais facteurs derrière le chiffre, des fourchettes honnêtes et les postes qui gonflent discrètement un devis.

15 janv. 202610 min de lecture

Application Security

La checklist du pentest d’applications mobiles : OWASP MASVS en pratique

Une checklist de terrain pour les tests d’intrusion d’applications mobiles, fondée sur OWASP MASVS : analyse statique et dynamique, stockage non sécurisé, cryptographie faible et contournement du certificate pinning, par des testeurs qui en font leur métier.

20 nov. 202512 min de lecture

Case Studies

SOC 2 en 90 jours : comment un SaaS de santé a réussi son premier audit

Un SaaS de santé disposait de 90 jours, avec un contrat entreprise signé en jeu et aucun contrôle formel. Voici comment nous avons mené sa préparation SOC 2 et comment il a franchi son premier audit.

14 oct. 202512 min de lecture

Web Application Security

Cross-Site Scripting (XSS) en 2026 : le bug web qui refuse de mourir

Le cross-site scripting figure parmi les principales vulnérabilités web depuis plus de vingt ans et reste l’une des failles critiques les plus fréquentes que nous signalons. Voici comment fonctionnent le XSS réfléchi, stocké et DOM, comment nous les testons, et les défenses qui tiennent vraiment.

12 sept. 202515 min de lecture

Methodology

Test d’intrusion cloud : notre méthodologie pour AWS, Azure et GCP

Un déroulé concret de la méthodologie de test d’intrusion cloud que nous appliquons à AWS, Azure et GCP : comment nous détournons l’IAM, traquons les erreurs de configuration et les stockages exposés, rebondissons d’une SSRF vers le service de métadonnées d’instance, élevons nos privilèges et vérifions si quelqu’un surveillait.

28 août 202513 min de lecture

Case Studies

Journal de red team : d’un simple e-mail de phishing à l’administrateur de domaine en six jours

Une évaluation red team représentative, racontée jour après jour : comment un seul e-mail de phishing convaincant a débouché sur un accès administrateur de domaine en six jours, et les trois contrôles qui nous auraient arrêtés net.

22 juil. 202512 min de lecture

Social Engineering

Simulations de phishing bien menées : mesurer le risque humain

Un e-mail piégé qui humilie ceux qui cliquent n’apprend rien à personne. Voici comment nous menons une simulation de phishing qui mesure le risque humain et fait bouger les indicateurs qui comptent : taux de signalement, délai de réaction et récidivistes du clic.

27 juin 202512 min de lecture

Guides

Test d’intrusion vs analyse de vulnérabilités : quelle différence (et quand utiliser l’un ou l’autre)

Un scanner vous dit qu’un port est ouvert et qu’une version semble ancienne. Un pentester vous montre comment quelqu’un enchaîne trois vulnérabilités “moyennes” jusqu’à la prise de contrôle complète d’un compte. Voici la vraie différence entre le test d’intrusion et l’analyse de vulnérabilités, et comment savoir lequel il vous faut vraiment.

20 mai 202512 min de lecture

Compliance

SOC 2 et tests d’intrusion : ce que les auditeurs attendent vraiment

Un pentest n’est pas une case que votre auditeur coche puis oublie. Voici ce qu’un test d’intrusion SOC 2 doit réellement prouver, comment il se rattache aux Common Criteria et les détails que les auditeurs exigent dans le rapport.

15 avr. 202510 min de lecture

Case Studies

Comment une fintech en série B a corrigé 23 failles critiques d’API avant sa prochaine levée de fonds

Une fintech en série B a commandé un test d’intrusion d’API six semaines avant sa due diligence. Nous avons trouvé 23 problèmes critiques, pour la plupart des failles d’autorisation qu’aucun scanner ne détecterait jamais. Voici comment la mission s’est réellement déroulée.

10 mars 202511 min de lecture

Penetration Testing

Ce qu’un test d’intrusion sur le réseau externe trouve vraiment

Les grandes victoires des tests d’intrusion sur le réseau externe sont rarement des zero-days exotiques. Ce sont le serveur oublié, le VPN non corrigé et l’identifiant qui dit encore admin/admin. Voici ce que nous trouvons, et comment.

19 févr. 202512 min de lecture

Guides

Comment choisir une entreprise de test d’intrusion (guide de l’acheteur 2026)

La plupart des rapports de pentest qu’on nous demande d’examiner sont des scans automatisés dans un joli PDF. Voici comment choisir une entreprise de test d’intrusion qui teste vraiment.

19 nov. 202411 min de lecture

Methodology

Notre méthodologie de test d’intrusion des applications web

La méthodologie exacte de test d’intrusion d’applications web que nous appliquons sur nos missions, de la cartographie de l’application à l’enchaînement de failles mineures en véritable compromission, jusqu’au contre-test du correctif.

5 août 202412 min de lecture

Cyber SecuritySecurity Research

Nous avons piraté GitHub pendant un mois : voici ce que nous avons trouvé

Après une longue pause, nous revenons avec un nouveau write-up. Bien que nous ne participions pas habituellement aux programmes de bug bounty en raison d’autres engagements, nous avons relevé le défi de pirater GitHub pendant un mois et nous sommes ravis de partager nos résultats. Tout a commencé lorsque Shivam … Read more

10 févr. 202316 min de lecture

Security Research

Comment nous pouvions pirater n’importe quelle entreprise avec un simple message – prime de 20 000 $ [CVE-2021-34506]

L’histoire d’un XSS universel (uXSS) dans le traducteur de Microsoft Edge, récompensé par une prime de 20 000 $ (CVE-2021-34506) – et comment il permettait de compromettre les utilisateurs sur Facebook, Google et YouTube.

25 juin 20218 min de lecture