PREUVE / Feuillet de consultation

Cahier des charges d’un pentest applicatif : trame pour consulter

Mis à jour le 1er octobre 2026

Formuler une question avant une liste de tests

Le cahier des charges commence par le contexte : un client grand compte demande une preuve avant signature, ou avant ouverture d’un usage particulier. Reproduisez la clause utile après retrait des données confidentielles. Identifiez l’interlocuteur qui l’interprète et le document accepté. Ne laissez pas le cabinet déduire les exigences du client à partir d’une simple date. Une attente de rapport anglais avec retest demande une consultation différente d’une évaluation technique interne.

Décrivez le service rendu par votre SaaS et les parcours sensibles pour l’usage prévu. Une liste de technologies ne suffit pas. Le cabinet doit comprendre ce qu’un utilisateur peut lire, modifier, partager ou administrer. Les fonctions de traitement différé et les intégrations doivent apparaître. Le cahier des charges reste une trame de consultation ; les autorisations et règles contractuelles doivent être validées séparément par les parties compétentes.

Délimiter les actifs et accès

Préparez un inventaire des applications, API et environnements. Donnez des désignations non sensibles au premier contact, puis transmettez les détails sous confidentialité. Indiquez les versions actives, les services tiers et les éléments exclus. Pour chaque actif, associez les rôles et organisations fictives nécessaires. Une interface de support ou une API mobile peut partager des contrôles avec l’application principale tout en nécessitant des scénarios propres.

Ajoutez les modalités d’accès : connexion fédérée, MFA, restrictions réseau, documentation et période de validité. Précisez qui prépare ces accès et quand leur fonctionnement sera confirmé. Le cabinet doit connaître les différences entre préproduction et production. Si le choix d’environnement reste ouvert, demandez deux hypothèses avec leurs limites plutôt qu’un devis qui suppose silencieusement une configuration identique.

Fixer les règles d’engagement

La consultation décrit les actions envisagées et les contraintes d’exploitation. Définissez les fenêtres, les contacts d’urgence, les seuils d’arrêt et les effets de bord interdits. Les tests de disponibilité, la suppression de données et les interactions avec des tiers ne doivent pas être implicitement autorisés. Demandez au cabinet sa procédure de gestion d’un incident observé pendant mission et la manière de conserver des preuves minimales.

Avant intervention, les propriétaires et exploitants concernés doivent confirmer les autorisations nécessaires. Le simple fait d’avoir souscrit un service cloud ne donne pas une autorisation générale sur son infrastructure. La consultation permet de repérer ces dépendances ; le mandat signé les traite précisément. Si un actif reste non autorisé, il est exclu et cette limite apparaît dans le rapport.

Décrire les livrables et le calendrier

Listez le rapport technique, la synthèse partageable, la restitution et le document de retest souhaités. Indiquez les langues et les formats. Demandez la version des référentiels utilisés et une description de la couverture. Un résultat « non testé » doit pouvoir être distingué d’un contrôle vérifié. Les constats doivent avoir des identifiants stables pour faciliter la correction et le suivi par vos équipes.

Votre rétroplanning doit réserver la préparation, l’audit, le rapport, les corrections et la revérification. Les durées proposées par le cabinet restent à confirmer avec sa disponibilité et votre capacité interne. La date de vente ne doit pas être présentée comme une garantie de clôture des anomalies. Demandez comment une indisponibilité ou un changement de périmètre modifie le calendrier et le prix.

Rendre les offres comparables

Demandez aux candidats de répondre ligne par ligne : inclus, exclu, option ou hypothèse. Ajoutez une demande de preuve des compétences et qualifications annoncées. Une référence client peut être examinée sous confidentialité lorsque sa diffusion est autorisée ; ne réclamez pas de rapport sensible d’un tiers. La qualité de la réponse se juge sur sa correspondance avec votre besoin, pas sur un volume de logos ou un nombre de vulnérabilités promis.

Conservez une version unique de la consultation et communiquez les clarifications utiles à tous les candidats concernés. Distinguez les différences de couverture des différences de prix. Le contrat final doit reprendre les arbitrages retenus, les exclusions et les conditions de retest. Avant commande, faites relire les critères d’acceptation par l’acheteur et les règles d’intervention par le responsable technique et les personnes habilitées à autoriser la mission.