Question 1

Qu'est-ce que Penetrify ?

Accepted Answer

Penetrify est une plateforme autonome de tests de pénétration par IA qui analyse automatiquement vos applications web à la recherche de vulnérabilités de sécurité. Grâce à des agents IA avancés, elle simule des attaques réelles pour identifier des failles telles que l'injection SQL, XSS, CSRF, IDOR et des centaines d'autres classes de vulnérabilités avant que des acteurs malveillants ne puissent les exploiter.

Question 2

Comment fonctionne le test de pénétration par IA ?

Accepted Answer

Notre agent IA explore de manière autonome votre application web, cartographie sa surface d'attaque et exécute un large éventail de tests de sécurité - de la validation des entrées et le contournement de l'authentification jusqu'à l'escalade de privilèges et les failles de logique métier. Il fonctionne comme un testeur humain expérimenté, mais tourne en continu à la vitesse machine, livrant des résultats en minutes plutôt qu'en semaines.

Question 3

À qui Penetrify est-il destiné ?

Accepted Answer

Penetrify est conçu pour les équipes de développement, les ingénieurs en sécurité, les DSI et les fondateurs de startups qui ont besoin de tests de sécurité fiables sans les coûts et les contraintes organisationnelles des pentests manuels. Il convient aussi bien aux petites équipes en rythme rapide qu'aux programmes de sécurité d'entreprise nécessitant une évaluation continue.

Question 4

Penetrify remplace-t-il les tests de pénétration manuels ?

Accepted Answer

Penetrify complète les pentests manuels en fournissant une couverture automatisée continue entre les engagements. Il détecte automatiquement la grande majorité des vulnérabilités courantes et est idéal pour les cycles de tests réguliers. Pour les vulnérabilités de logique métier complexes ou les évaluations imposées par la conformité, un pentest humain peut rester recommandé.

Question 5

Quels types de vulnérabilités Penetrify détecte-t-il ?

Accepted Answer

Penetrify détecte un large spectre de vulnérabilités incluant toutes les catégories OWASP Top 10 : injection SQL, Cross-Site Scripting (XSS), Cross-Site Request Forgery (CSRF), Références directes non sécurisées aux objets (IDOR), authentification défaillante, mauvaises configurations de sécurité, exposition de données sensibles, injection XXE, contrôle d'accès défaillant et bien plus encore.

Question 6

Comment démarrer ?

Accepted Answer

Créez un compte gratuit sur app.penetrify.cloud, ajoutez votre application web en entrant son domaine et son nom, choisissez un abonnement ou achetez des crédits de test, puis lancez votre premier scan. L'ensemble de la configuration prend moins de cinq minutes.

Question 7

Dois-je installer quelque chose ?

Accepted Answer

Aucune installation n'est requise. Penetrify est une plateforme entièrement basée sur le cloud. Inscrivez-vous simplement, ajoutez l'URL de votre application et commencez à tester directement depuis votre navigateur - sans agent, plugin ou logiciel à déployer.

Question 8

Comment ajouter mon application ?

Accepted Answer

Après connexion, accédez à la section Applications et cliquez sur « Ajouter une application ». Saisissez le nom, le domaine et optionnellement la description et l'environnement (production, staging ou développement) de votre application. Vous pouvez gérer plusieurs applications depuis un seul compte.

Question 9

Quelles informations dois-je fournir pour lancer un test ?

Accepted Answer

Pour lancer un test, il vous suffit de fournir l'URL cible de votre application. Vous pouvez également fournir des identifiants d'authentification pour que le scanner puisse tester les zones protégées, et des instructions personnalisées pour orienter le focus de l'agent IA. Plus vous fournissez de contexte, plus les résultats seront complets et pertinents.

Question 10

Combien de temps dure un test ?

Accepted Answer

La durée dépend du mode de scan sélectionné. Les scans rapides se terminent généralement en 15–30 minutes et couvrent les classes de vulnérabilités les plus critiques. Les scans standard durent 1–2 heures avec une couverture plus large. Les scans approfondis peuvent durer plusieurs heures pour une évaluation complète des applications complexes.

Question 11

Que contient un rapport de test ?

Accepted Answer

Chaque rapport comprend un résumé exécutif, un score de sécurité global, une liste détaillée de tous les résultats avec classification de la gravité (Critique, Élevé, Moyen, Faible), des étapes de reproduction, les détails techniques de chaque vulnérabilité et des recommandations de remédiation concrètes pour chaque problème identifié.

Question 12

Puis-je exécuter plusieurs tests simultanément ?

Accepted Answer

Oui. Vous pouvez lancer des tests simultanément sur plusieurs applications de votre compte. Le nombre de tests simultanés disponibles peut dépendre de votre plan d'abonnement.

Question 13

Quelle est la différence entre les modes Rapide, Standard et Approfondi ?

Accepted Answer

Le mode Rapide effectue un scan ciblé des classes de vulnérabilités prioritaires en 15–30 minutes, idéal pour des vérifications rapides avant déploiement. Le mode Standard offre une couverture plus large de toutes les catégories majeures en 1–2 heures. Le mode Approfondi réalise l'analyse la plus complète avec des itérations IA étendues, idéal pour des revues de sécurité exhaustives.

Question 14

Comment les vulnérabilités sont-elles classifiées ?

Accepted Answer

Les vulnérabilités sont classées en quatre niveaux de gravité : Critique (risque immédiat, fuite de données directe ou prise de contrôle possible), Élevé (risque sérieux nécessitant une attention urgente), Moyen (risque modéré à traiter prochainement) et Faible (risque immédiat minimal mais recommandé à corriger). La classification est basée sur l'impact, l'exploitabilité et les lignes directrices de notation CVSS.

Question 15

Puis-je re-tester après avoir corrigé des vulnérabilités ?

Accepted Answer

Oui. Après avoir résolu les vulnérabilités identifiées, vous pouvez relancer un scan à tout moment pour vérifier que vos corrections sont efficaces et qu'aucune régression n'a été introduite. Chaque nouveau scan consomme un crédit de test.

Question 16

Est-il sécurisé d'effectuer des tests de pénétration en production ?

Accepted Answer

Penetrify est conçu pour être sûr dans les environnements de production. Notre agent IA évite les opérations destructives et se concentre sur la détection plutôt que l'exploitation. Cela dit, nous recommandons de tester d'abord sur un environnement de staging ou de planifier les scans en production pendant les périodes de faible trafic par précaution.

Question 17

Les tests affecteront-ils les performances de mon application ?

Accepted Answer

Penetrify envoie des requêtes HTTP contrôlées et ciblées à votre application pendant un scan. Bien qu'il y ait un trafic supplémentaire, il est comparable à une charge utilisateur normale et est peu susceptible d'impacter les performances de manière perceptible. Pour les systèmes de production à fort trafic, nous recommandons d'effectuer les scans en dehors des heures de pointe.

Question 18

Mes données sont-elles sécurisées ?

Accepted Answer

Oui. Toutes les communications sont chiffrées avec TLS. Notre plateforme suit des pratiques de sécurité strictes incluant le chiffrement des données au repos et en transit. Notre infrastructure fonctionne sur AWS dans la région EU et nous procédons à des revues de sécurité internes régulières.

Question 19

Stockez-vous des données sensibles de mon application ?

Accepted Answer

Penetrify stocke les configurations de test, les résultats de scan et les rapports de vulnérabilités. Il ne capture ni ne conserve intentionnellement les données personnelles des utilisateurs de votre application. Tous les identifiants d'authentification que vous fournissez sont chiffrés au repos et utilisés uniquement pour la durée du scan.

Question 20

Dans quelles régions vos serveurs sont-ils situés ?

Accepted Answer

Notre infrastructure est hébergée sur AWS dans l'UE (régions Irlande et Francfort). Toutes les données sont traitées et stockées au sein de l'UE, ce qui garantit la conformité au RGPD et aux exigences européennes de résidence des données.

Question 21

Quelles intégrations Penetrify supporte-t-il ?

Accepted Answer

Penetrify s'intègre actuellement avec GitHub et GitLab pour la gestion du code source et les workflows CI/CD. Nous élargissons continuellement notre écosystème d'intégrations. Si vous avez besoin d'une intégration spécifique, contactez-nous et nous la prioriserons.

Question 22

Comment fonctionne l'intégration GitHub/GitLab ?

Accepted Answer

En connectant votre compte GitHub ou GitLab, vous pouvez associer des dépôts aux applications dans Penetrify et déclencher des scans de sécurité directement depuis votre workflow de développement. Cela permet des tests automatisés dans le cadre de votre pipeline CI/CD à chaque push de code ou déploiement.

Question 23

Puis-je déclencher des tests automatiquement depuis des pipelines CI/CD ?

Accepted Answer

Oui. En utilisant notre API ou les intégrations Git, vous pouvez déclencher des scans automatiquement lors de chaque déploiement en staging ou en production. Cela garantit que chaque release est automatiquement évaluée pour de nouvelles vulnérabilités, intégrant la sécurité dès le début du processus de développement.

Question 24

Quels plans proposez-vous ?

Accepted Answer

Nous proposons trois niveaux d'abonnement - Starter, Professional et Enterprise - disponibles en facturation mensuelle ou annuelle. Nous offrons également des packs de crédits Pay-As-You-Go pour les équipes qui préfèrent des tests flexibles à la demande sans engagement récurrent.

Question 25

Qu'est-ce que le Pay-As-You-Go ?

Accepted Answer

Le Pay-As-You-Go vous permet d'acheter des crédits de test en lots (1, 5, 10 ou 20 crédits) et de les utiliser selon vos besoins. Les crédits n'expirent pas et s'accumulent avec chaque achat. C'est idéal pour les équipes avec des plannings de tests irréguliers ou imprévisibles.

Question 26

Puis-je mettre à niveau ou rétrograder mon plan ?

Accepted Answer

Oui. Vous pouvez mettre à niveau votre abonnement à tout moment et le changement prend effet immédiatement. Les rétrogradations prennent effet à la fin de la période de facturation en cours. Contactez notre équipe support si vous avez besoin d'aide pour changer de plan.

Question 27

Les crédits de test inutilisés sont-ils reportés ?

Accepted Answer

Les crédits d'abonnement sont réinitialisés au début de chaque nouvelle période de facturation. Les crédits Pay-As-You-Go n'expirent jamais et s'accumulent à chaque achat supplémentaire - vous ne perdez donc jamais les crédits que vous avez payés.

Question 28

Comment résilier mon abonnement ?

Accepted Answer

Vous pouvez résilier votre abonnement à tout moment depuis la section Facturation de votre tableau de bord. Votre abonnement reste actif jusqu'à la fin de la période de facturation en cours. Les crédits Pay-As-You-Go ne sont pas remboursables mais n'expirent pas.

Question 29

Penetrify est-il conforme au RGPD ?

Accepted Answer

Oui. Penetrify est conçu dans le respect de la conformité RGPD. Notre infrastructure est hébergée entièrement dans l'UE, nous traitons les données uniquement dans la mesure nécessaire à la fourniture du service et nous ne vendons ni ne partageons vos données avec des tiers. Vous pouvez demander la suppression de vos données à tout moment en contactant notre équipe support.

Question 30

Puis-je obtenir un certificat de test de pénétration à des fins de conformité ?

Accepted Answer

Oui. Sur demande, nous pouvons fournir un certificat de complétion de test résumant le périmètre, la méthodologie, les dates et les résultats de votre test de pénétration. Cette documentation peut être utilisée comme preuve pour SOC 2, ISO 27001, PCI-DSS, HIPAA et d'autres référentiels de conformité en matière de sécurité.

Question 31

Combien coûte un test d'intrusion IA ?

Accepted Answer

Penetrify propose des tests d'intrusion basés sur l'IA à partir de $50/mois (offre Starter, 1 scan/mois), $600/mois (offre Professionnelle, 20 scans/mois) et $2,500/mois (offre Entreprise, 100 scans/mois). C'est 95 à 99 % moins cher que les tests d'intrusion manuels traditionnels, qui coûtent généralement entre $15,000 et $50,000 par intervention et nécessitent des semaines de planification.

Question 32

Quelle est la différence entre un test d'intrusion IA et un test d'intrusion traditionnel ?

Accepted Answer

Les tests d'intrusion traditionnels sont réalisés par des consultants en sécurité pendant des jours ou des semaines et coûtent de $15,000 à $50,000 par mission. Les tests d'intrusion IA avec Penetrify offrent une couverture de vulnérabilité comparable en 15 minutes à quelques heures, à une fraction du coût. Penetrify utilise la même méthodologie qu'un ingénieur de sécurité expérimenté : cartographie des surfaces d'attaque, chaînage des découvertes et test de l'authentification, de l'autorisation et de la logique métier, mais en continu et à la vitesse d'une machine. Les pentests humains sont toujours recommandés pour les évaluations de logique métier très complexes ou les certifications tierces obligatoires en matière de conformité.

Question 33

Les tests d'intrusion basés sur l'IA sont-ils aussi précis que les tests d'intrusion manuels ?

Accepted Answer

Pour les classes de vulnérabilités courantes — OWASP Top 10, failles d'authentification, IDOR, erreurs de configuration d'API, exposition de secrets — les tests d'intrusion IA avec Penetrify atteignent une précision comparable à celle d'un testeur humain qualifié, avec un taux de faux positifs inférieur à 5 %. Les vulnérabilités de logique métier très complexes et spécifiques à l'application peuvent toujours bénéficier d'un examen humain. Pour la plupart des startups et des produits SaaS en croissance, Penetrify détecte les vulnérabilités les plus susceptibles d'être exploitées.

Question 34

Est-ce que Penetrify peut tester les REST APIs et les GraphQL APIs ?

Accepted Answer

Oui. Penetrify cartographie et teste automatiquement les points de terminaison d'API REST, y compris les routes non authentifiées, l'autorisation cassée au niveau de l'objet (BOLA/IDOR), le manque de limitation de débit, les messages d'erreur verbeux et les références directes non sécurisées. La détection des points de terminaison GraphQL et les tests basés sur l'introspection sont également pris en charge.

Question 35

À quelle fréquence dois-je effectuer des tests d'intrusion ?

Accepted Answer

Les bonnes pratiques de sécurité recommandent de réaliser des tests après chaque version majeure, lors de l'ajout de nouveaux flux d'authentification ou de paiement, avant le lancement en production et selon un calendrier récurrent (mensuel ou trimestriel). Avec Penetrify, vous pouvez exécuter des tests en continu dans le cadre de votre workflow CI/CD plutôt que comme un événement annuel ponctuel.

Question 36

Qu'est-ce qu'une vulnérabilité IDOR et est-ce que Penetrify la détecte ?

Accepted Answer

IDOR (Insecure Direct Object Reference) est une vulnérabilité où un attaquant modifie un paramètre — tel qu'un identifiant d'utilisateur dans une URL ou une requête API — pour accéder aux données appartenant à un autre utilisateur. Par exemple, modifier /api/users/123 en /api/users/124 pour lire le profil de quelqu'un d'autre. IDOR est l'une des vulnérabilités web les plus courantes et les plus importantes. Penetrify détecte les vulnérabilités IDOR en testant systématiquement les limites d'autorisation sur tous les points de terminaison découverts.

Question 37

Est-ce que Penetrify aide à la conformité SOC 2 ?

Accepted Answer

Oui. Des tests d'intrusion réguliers sont une exigence clé pour les audits SOC 2 Type II en vertu des critères communs CC6 (Accès logique et physique) et CC7 (Opérations du système). Penetrify fournit des certificats d'achèvement des tests et des rapports de vulnérabilité détaillés qui servent de preuves justificatives pour les auditeurs. Les utilisateurs du plan Enterprise bénéficient également de rapports formatés pour la conformité et adaptés aux soumissions SOC 2, ISO 27001 et PCI-DSS.

Question 38

Comment Penetrify gère-t-il les données découvertes lors d'une analyse ?

Accepted Answer

Penetrify traite uniquement les données nécessaires à la réalisation de l'évaluation de sécurité. Les résultats d'analyse — y compris les endpoints découverts, les détails des vulnérabilités et les données des rapports — sont stockés en toute sécurité dans une infrastructure basée dans l'UE et ne sont accessibles qu'à votre compte. Nous ne vendons, ne partageons ni n'utilisons les données de votre application à d'autres fins que la livraison du rapport de sécurité. La conservation des données suit la fenêtre d'historique de votre plan (30 jours pour Starter, 90 jours pour Professional, illimité pour Enterprise).

Questions fréquemment posées

Vous avez encore des questions ?