Une exposition critique dormait en clair sur leur surface publique. Personne ne l'avait vue.
Éditeur français d'un SaaS B2B transactionnel critique pour sa base clients corporate. Diagnostic de surface externe non-intrusif, livré en 3 jours, une quarantaine de findings consolidés dont 1 critique et plusieurs élevés remontés à la direction.
à la restitution direction
Direction notifiée sous 1h.
Une exposition critique sur la surface publique, neutralisée sous 6 jours
Sauvegarde applicative accessible publiquement avec exports clients lisibles et services d'administration exposés sur Internet. L'éditeur opère un SaaS B2B transactionnel critique pour ses clients corporate. Sans action rapide, la sauvegarde applicative restait lisible publiquement, avec des exports incluant de la donnée client identifiable : déclencheur d'une notification de violation au régulateur, exposition contractuelle vis-à-vis des grands comptes, perte de confiance immédiate. La direction n'avait pas l'information.
Recon passif, énumération légère hors heures ouvrées
Diagnostic de surface externe non-intrusif sur la surface publique applicative et son écosystème (domaine, sous-domaines, stockages objet, dépôts publics), avec reconnaissance passive, énumération active légère hors heures ouvrées, analyse d'exposition et OSINT.
Le ledger des 5 findings prioritaires
Les 36 findings restants couvrent des points moyens et faibles (en-têtes HTTP, durcissement de configuration, exposition de métadonnées). Listés dans le rapport complet remis à la direction.
De l'alerte J-6 à la roadmap J+30
- J-6AlerteSignal critique détecté lors du recon initial : sauvegarde applicative lisible publiquement, exports clients en clair. Direction prévenue dans l'heure.
- J-3Recon achevéActifs publics cartographiés, findings consolidés, classification par criticité business prête.
- J0RestitutionSynthèse exécutive remise en main propre. Direction acte la file prioritaire et déclenche les actions P0 en priorité.
- J+5Remédiation P0Sauvegarde retirée du stockage public, secrets exposés révoqués et rotés, surfaces admin restreintes.
- J+30Plan migrationRoadmap de migration des composants en fin de support et durcissement réseau de la pré-production cadrée avec l'équipe technique, jalons trimestriels.
Contrôle restauré sur la surface publique
Une quarantaine de findings consolidés dont 1 critique et plusieurs élevés. Retrait de la sauvegarde publique, révocation et rotation des secrets exposés, restriction des surfaces d'administration, durcissement réseau de la pré-production et plan de migration des composants en fin de support remis en main propre à la direction.
- Sauvegarde publique retirée sous 24 h, copies rotées et purgées du stockage exposé.
- Services d'administration retirés de l'exposition publique.
- Secrets exposés révoqués et rotés sous 48 h, surveillance des dépôts publics renforcée.
- Plan de migration des composants en fin de support cadré sur 3 trimestres.
Et votre surface publique, qu'est-ce qu'elle dit aujourd'hui ?
Le diagnostic est gratuit, restitué sous 48 à 72 heures. Pas de carte bancaire, pas d'obligation de pentest derrière.
Deux autres lectures de surface, deux secteurs différents
Cas client réalisé sous NDA actif. La raison sociale, le domaine, les emails et les identifiants techniques sont caviardés ; les métriques, le déroulé temporel et la nature des findings reflètent fidèlement la mission. La direction du client a relu et validé ce document avant publication.