PREUVE / Feuillet de consultation

Boîte noire, grise ou blanche : choisir le mode de pentest

Mis à jour le 1er octobre 2026

Choisir le mode selon la question du client

Boîte noire, grise et blanche décrivent la connaissance mise à disposition des auditeurs. Elles ne désignent pas trois niveaux de sécurité obtenus après test. En boîte noire, le cabinet dispose de peu d’informations internes. En boîte grise, il reçoit certains accès ou documents. En boîte blanche, il peut disposer d’une connaissance plus étendue, selon la mission. Demandez dans tous les cas une définition contractuelle : l’usage de ces termes varie et leur seul intitulé ne permet pas de comparer deux devis.

Le bon choix dépend de la preuve attendue. Un acheteur qui utilise des parcours authentifiés peut vouloir des vérifications entre plusieurs rôles. Une évaluation depuis l’extérieur sans compte ne répond pas forcément à cette question. Le CTO doit traduire les usages du client en scénarios ; le cabinet propose ensuite les informations et accès nécessaires. Le choix doit porter sur la couverture et les limites, sans transformer un mode d’audit en garantie de résultat commercial.

Lire les limites de la boîte noire

Une approche sans accès peut examiner la surface exposée et certains comportements accessibles à un visiteur. Elle peut aussi consacrer une partie de la mission à découvrir cette surface. Si les fonctions importantes se trouvent derrière une authentification, leur examen peut rester limité. Le rapport doit préciser ce point. Il serait trompeur de présenter un audit extérieur court comme une vérification complète des autorisations internes ou des traitements de données propres à chaque organisation cliente.

Demandez quels actifs sont connus au départ et comment la découverte est bornée. Une marque peut posséder plusieurs domaines ou utiliser des tiers ; tous ne sont pas automatiquement autorisés. Les règles d’engagement précisent les cibles et les exclusions. Si une information découverte suggère un actif supplémentaire, le cabinet demande une extension de mandat avant intervention. La découverte technique ne vaut pas autorisation de test.

Donner des accès en boîte grise

Des comptes dédiés permettent de construire des scénarios authentifiés avec des rôles représentatifs. Une documentation métier aide le cabinet à comprendre les permissions attendues. Pour un SaaS multi-tenant, plusieurs organisations fictives peuvent être nécessaires. La préparation demande du travail interne, mais elle rend l’évaluation plus proche de certains usages du client. L’accès fourni ne dispense pas de vérifier les opérations permises ni de documenter les hypothèses.

Conservez la MFA selon le cadre convenu et utilisez un canal sûr pour les secrets. Chaque compte doit avoir une durée de validité et un responsable de révocation. Fournissez les données fictives nécessaires aux parcours, y compris pour les exports et traitements différés. Les informations supplémentaires doivent être listées dans le rapport afin que son lecteur sache quelles connaissances ont orienté les tests.

Distinguer boîte blanche et revue de code

Une connaissance étendue peut inclure l’architecture, la configuration ou le code source. La revue de code reste une activité à définir : composants concernés, version, accès au dépôt et livrables. Un pentest dynamique et une revue de code peuvent se compléter, mais l’un ne comprend pas nécessairement l’autre. Vérifiez le détail du devis au lieu de déduire une couverture totale de l’expression « boîte blanche ».

Les documents internes transmis au cabinet nécessitent des règles de confidentialité. Définissez qui peut les consulter, où ils sont traités et ce qui est conservé après mission. Une description d’architecture peut contenir des éléments sensibles même sans mot de passe. La restitution destinée au client doit présenter la méthode et les résultats sans reproduire des détails internes inutiles à sa décision.

Comparer la valeur de la preuve

Demandez à chaque candidat une matrice qui relie le mode proposé aux questions à résoudre : surface publique, droits utilisateur, séparation des organisations, contrôle des fonctions administratives ou revue d’un composant. Relevez les exclusions et la façon de signaler les scénarios non vérifiables. Une offre plus coûteuse peut couvrir davantage d’angles ; cela ne signifie pas qu’elle soit nécessaire si le client attend une preuve plus étroite.

Préparez un arbitrage écrit avec le CTO et la direction commerciale. L’acheteur confirme le document qu’il accepte, le cabinet confirme les moyens nécessaires, et l’équipe produit réserve les accès et la capacité de correction. Si le mode change pendant la mission, mettez à jour les hypothèses et la restitution. La synthèse remise au client doit correspondre à l’audit réellement réalisé et non à l’intitulé du devis initial.