2026-06-30 · GUIDE · L'équipe Offensive Technology

Check, scan ou pentest complet ?

En résumé : Un scan de vulnérabilités est une liste automatisée et peu coûteuse de problèmes connus. Un check de la surface d'attaque est un premier coup d'œil ciblé et revu par un humain sur votre surface exposée. Un test d'intrusion complet représente plusieurs jours d'exploitation manuelle et approfondie. Lancez des scans pour une couverture régulière, un check pour un premier état des lieux rapide et honnête, et un pentest complet lorsque vous avez besoin d'une profondeur de niveau audit.

Le terme « pentest » est utilisé pour désigner trois prestations très différentes, avec des prix allant de la gratuité à cinq chiffres. Si vous êtes acheteur, cet écart est volontairement entretenu par certains acteurs du marché. Voici la version transparente, pour que vous sachiez exactement ce que vous achetez.

Un scan de vulnérabilités

Un scanner est un outil automatisé qui vérifie vos systèmes par rapport à une base de données de vulnérabilités connues. C'est rapide, peu coûteux et utile à exécuter régulièrement. C'est aussi bruyant : il produit de longues listes, ne comprend pas votre logique métier et ne sait pas combiner deux problèmes moyens en une faille critique. Un scan vous indique ce qui est potentiellement incorrect. Il ne vous dit pas ce qu'un attaquant ferait réellement.

Sous le capot, un scanner compare ce qu'il voit, ports ouverts, bannières de service, versions logicielles, en-têtes de réponse, à une base de données de vulnérabilités connues et signale chaque correspondance. Cela le rend répétable, rapide et efficace pour repérer les problèmes récurrents qui s'accumulent : patchs manquants, certificats expirés, configurations par défaut, panneau d'administration laissé ouvert sur Internet. Mais sa limite est structurelle. Il signale ce qui correspond à une signature, pas ce qui est exploitable dans votre contexte. Une vulnérabilité marquée comme critique peut ainsi être inaccessible derrière d'autres contrôles, tandis qu'une autre marquée comme faible constitue exactement l'accès initial recherché par un attaquant. Tant qu'un expert n'a pas qualifié la liste, il s'agit principalement de bruit.

Un check de la surface d'attaque

Un check se situe au milieu. Il examine votre surface exposée comme le ferait un attaquant au début d'une mission, en combinant une couverture automatisée avec le jugement d'un opérateur senior qui analyse et explique le résultat. C'est plus poussé qu'un scan, car une personne ayant une réelle expérience de l'intrusion détermine ce qui compte vraiment. C'est plus léger qu'une mission complète, car la prestation est limitée dans le temps et ciblée. C'est le niveau de notre check à 100 $ : un premier état des lieux rapide et honnête.

Un check commence par confirmer le périmètre et vérifier que vous en êtes propriétaire ou responsable, avec une autorisation écrite formelle avant tout test. Un opérateur senior analyse ensuite la surface exposée comme au début d'un pentest : énumération des éléments accessibles, détection des sous-domaines oubliés ou des services qui n'auraient jamais dû être publics, et tri des vulnérabilités pertinentes. Vous obtenez une liste priorisée et une synthèse rédigée, pas un export de mille lignes. En revanche, un check ne consistera pas à passer des jours à enchaîner des exploits ou à faire du pivotement dans votre réseau. C'est un premier état des lieux assumé, conçu pour vous dire rapidement si vous avez un vrai problème et comment réagir.

Un test d'intrusion complet

Une mission complète implique une personne, ou une équipe, passant plusieurs jours à tenter de s'introduire dans vos systèmes comme le ferait un attaquant déterminé. Tests manuels, développement d'exploits sur mesure, contournement de la logique métier, déplacement latéral, la totale. Cela permet de démontrer un impact réel et de fournir un rapport généralement accepté par un auditeur ou un assureur. Cela représente un investissement financier réel, car il s'agit du temps humain d'experts chevronnés.

Cela implique un travail qu'un scanner ne peut pas effectuer : tester la logique métier (un utilisateur peut-il accéder aux données d'un autre client, un processus de paiement peut-il être manipulé, un contrôle d'accès peut-il sauter en modifiant un seul paramètre), combiner plusieurs vulnérabilités faibles en une chaîne d'attaque critique et, si le périmètre le permet, effectuer un déplacement latéral pour montrer jusqu'où un accès initial peut mener. Le livrable n'est pas une liste de possibilités, mais un impact démontré avec preuves et étapes de reproduction à l'appui, soit le niveau d'exigence généralement attendu par un auditeur, un assureur ou une direction des achats. C'est pourquoi un vrai pentest fait l'objet d'un cadrage, d'un calendrier et d'un chiffrage basé sur du temps humain. Si un devis est dérisoire et instantané, vous achetez presque à coup sûr un scan avec une plus jolie page de garde.

Une même vulnérabilité, trois réponses

Prenons une vulnérabilité classique et observons comment chaque niveau la traite. Supposons qu'un ancien sous-domaine, staging.example.com, pointe toujours vers un serveur actif exécutant une application web obsolète.

• A scan le signale : logiciel obsolète, sévérité moyenne, une ligne parmi deux cents autres. Que quelqu'un lise cette ligne ou non relève du pile ou face.
• A check identifie le même hôte, mais un humain l'analyse. Le sous-domaine avait été oublié, sa page de connexion laisse fuiter des traces d'exécution révélant le framework utilisé, et la version installée dispose d'un exploit public. Cela fait passer l'élément de « moyen, enfoui » à « à corriger en priorité, et voici pourquoi », le tout expliqué dans la synthèse.
• A full pentest va plus loin et en apporte la preuve. L'opérateur confirme que l'exploit fonctionne, s'introduit sur le serveur et vérifie si cette machine permet d'accéder à d'autres ressources critiques. Ce n'est plus une simple possibilité, c'est un chemin d'attaque démontré avec preuves à l'appui.

Un même hôte, trois réponses très différentes. Le scan vous a indiqué qu'il existait. Le check vous a montré qu'il était important. Le pentest vous a montré ce qu'il vous en coûtera si vous l'ignorez.

Duquel avez-vous besoin ?

Ces approches sont complémentaires et non concurrentes ; les programmes de sécurité matures combinent les trois. Un check avant un pentest complet permet souvent d'affiner le périmètre, afin d'investir le temps humain là où il apporte le plus de valeur, tandis que la surveillance de votre external attack surface entre les tests permet de détecter les dérives qu'un test annuel ne verra pas. En savoir plus sur la fréquence dans how often should you get a penetration test?

• Vous voulez simplement savoir si des éléments évidents sont exposés ? Commencez par un check.
• Vous devez répondre aux exigences d'un auditeur, d'un assureur ou d'un grand compte ? Vous avez très certainement besoin d'un full pentest, et vous devriez d'abord vérifier leurs exigences exactes. Si votre démarche est motivée par un référentiel spécifique, nos notes indiquant si SOC 2 requires a penetration test précisent ce qu'un auditeur accepte réellement.
• Vous souhaitez une couverture continue entre deux missions ? Exécutez des scans de manière régulière, et ne les confondez pas avec un pentest.

Si vous hésitez, dites-nous ce qui motive votre demande. Nous vous orienterons vers la solution la moins chère qui résout réellement votre problème, même s'il ne s'agit pas de la prestation que nous préférerions vous vendre.

Check, scan ou pentest ? Réponses rapides

Quelle est la différence entre un scan de vulnérabilités et un test d'intrusion ?

Un scan de vulnérabilités est une vérification automatisée par rapport à une base de données de problèmes connus : rapide, peu coûteuse, répétable et bruyante. Un test d'intrusion est un travail manuel réalisé par un expert qui tente d'exploiter et de combiner des vulnérabilités comme le ferait un attaquant réel, tout en prouvant l'impact. Un scan vous indique ce qui pourrait ne pas aller ; un pentest vous montre ce qu'un attaquant peut réellement faire.

Un check de la surface d'attaque est-il équivalent à un test d'intrusion ?

Non. Un check est un premier état des lieux ciblé et limité dans le temps de votre surface exposée, analysé et priorisé par un opérateur senior, accompagné d'une courte synthèse. Un test d'intrusion complet représente plusieurs jours d'exploitation manuelle et approfondie qui démontrent un impact réel et fournissent un rapport adapté aux audits. Par conception, un check est plus poussé qu'un scan et plus léger qu'un pentest complet.

Ai-je besoin d'un test d'intrusion complet pour la conformité ?

Généralement oui, et vous devriez d'abord vérifier la formulation exacte de votre obligation. Les référentiels tels que PCI DSS exigent explicitement des tests d'intrusion, tandis que SOC 2 et ISO 27001 reposent sur une approche par les risques et les exigent en pratique. Un scan ou un check ne satisfera pas un auditeur ou un assureur qui a spécifiquement demandé un test d'intrusion.

Puis-je commencer par un scan et un check au lieu d'un pentest complet ?

Oui, et c'est souvent la démarche la plus judicieuse : des scans pour une couverture continue à moindre coût, un check pour un bilan rapide et honnête permettant d'affiner le périmètre d'une mission future, et le pentest complet lorsque vous avez besoin de profondeur ou que vous devez apporter des preuves à un tiers. Veillez simplement à ne pas présenter un scan ou un check comme un test d'intrusion à quiconque en exige un.

Articles similaires

• Combien coûte un test d'intrusion ?
• Que peuvent voir les attaquants sur votre entreprise ?
• À quelle fréquence devriez-vous réaliser un test d'intrusion ?