Test d'intrusion externe : ce qu'un hacker éthique teste depuis Internet

Ce qu'est un test d'intrusion externe

Un test d'intrusion externe, ou pentest externe, est une attaque autorisée menée depuis Internet contre tout ce que votre entreprise expose : site web, extranet, accès à distance, messagerie, serveurs et services ouverts. L'expert part sans accès particulier, comme un attaquant réel, et cherche les failles qui permettraient d'entrer ou de voler des données.

Il se distingue du test d'intrusion interne, qui part d'un poste déjà dans vos murs, et de l'audit de configuration, qui relit les réglages sans attaquer. Les trois se complètent : l'externe vérifie la porte d'entrée, l'interne ce qu'un attaquant peut atteindre une fois entré.

Ce qu'un hacker éthique vérifie depuis Internet

Le périmètre se fixe avec vous avant la mission. Il couvre en général les points suivants.

• La cartographie de votre surface exposée — Noms de domaine, sous-domaines oubliés, adresses IP, services ouverts sur chaque serveur. On découvre souvent un ancien site de test, une interface d'administration ou un serveur de sauvegarde accessibles à tous.
• Les accès à distance — VPN, bureau à distance, portails d'accès des salariés. Versions vulnérables, absence de double authentification, comptes par défaut ou mots de passe faibles.
• La messagerie et les comptes cloud — Portail de messagerie en ligne, suite bureautique en ligne, réglages anti-usurpation du domaine (SPF, DKIM, DMARC) qui conditionnent le risque d'hameçonnage à votre nom.
• Le site et les applications web — Injections, contournement de l'authentification, fichiers sensibles accessibles, extensions et frameworks pas à jour, en suivant les catégories de risque du référentiel OWASP.
• Les fuites d'informations publiques — Identifiants de salariés exposés dans des fuites passées, dépôts de code publics contenant des clés, documents indexés par les moteurs de recherche.
• Les équipements de bordure — Pare-feu, routeurs, serveurs de fichiers ou caméras joignables depuis Internet, dont les mises à jour sont souvent en retard.

Comment se déroule un test d'intrusion externe

Une mission sérieuse suit toujours le même fil, de l'accord écrit au contre-test.

1. Cadrage et autorisation — Vous listez les domaines et adresses à tester, les dates et les horaires. Vous signez une autorisation écrite : sans elle, aucun expert sérieux ne commence. Prévenez votre hébergeur si ses conditions l'exigent.
2. Reconnaissance — L'expert recense ce qui est visible de l'extérieur, sans encore attaquer : domaines, services, technologies, informations publiques.
3. Recherche et exploitation des failles — Il teste chaque point d'entrée, confirme les failles réelles en les exploitant de façon contrôlée, et s'arrête là où le périmètre s'arrête.
4. Rapport — Chaque faille est décrite avec son niveau de gravité, la preuve, l'impact concret et la correction recommandée, avec une synthèse lisible par la direction.
5. Contre-test — Une fois les corrections faites, l'expert vérifie qu'elles ferment bien les failles. Demandez si ce contre-test est compris dans sa proposition.

Publier un test d'intrusion externe sur Hackersdate

La publication de la mission est gratuite. Décrivez le périmètre (domaines, nombre d'adresses IP, applications), les contraintes de dates et le livrable attendu. Ne mettez aucun mot de passe ni aucune information sensible dans l'annonce : vous les transmettrez à l'expert choisi.

Les hackers éthiques inscrits répondent avec leur méthode, leur délai et leur prix. Chaque proposition leur coûte 1 crédit : les réponses viennent d'experts qui ont lu votre besoin. Vous choisissez sur le profil, les avis et la proposition, puis vous réglez par Stripe : le montant reste en dépôt sécurisé jusqu'à la livraison du rapport. Vous libérez alors le paiement et laissez un avis, obligatoire. Hackersdate prélève une commission de 2 %.

Les erreurs qui faussent un test externe

• Oublier une partie du périmètre — Un sous-domaine ou un serveur absent de la liste ne sera pas testé, et c'est souvent celui-là qui est vulnérable. La phase de reconnaissance sert aussi à vous le signaler.
• Tester sans autorisation écrite — Un test d'intrusion sans accord écrit du propriétaire des systèmes est une attaque au sens de la loi. L'autorisation protège l'entreprise comme l'expert.
• Confondre scan automatique et test d'intrusion — Un scanner liste des vulnérabilités possibles, avec beaucoup de faux positifs. Le test d'intrusion confirme les failles exploitables et mesure leur impact réel.
• Ne pas prévoir le contre-test — Sans vérification après correction, on ne sait pas si la faille est vraiment fermée.