VALLUM PROOFtest d'intrusion prêt pour l'audit · contre-vérification comprise

Prouvez votre sécurité à ceux qui l'exigent.

Vallum réalise des tests d'intrusion à prix fixe pour les PME, puis vous remet la preuve qu'un auditeur, un régulateur ou un client important acceptera.

Nous testons vos applications web, vos API et votre cloud comme le ferait un attaquant, puis nous vous livrons un rapport directement utilisable par votre équipe technique et que votre auditeur peut archiver — que vous visiez une certification SOC 2 ou ISO 27001, que vous répondiez au questionnaire de sécurité d'un client, ou que vous souhaitiez simplement prouver à ceux qui vous confient leurs données qu'elles sont en sécurité.

Reserver un appel de 30 minutes Demander un devis à prix fixe Voir un exemple de rapport →

// périmètre · test · preuve · contre-vérification

Au service d'entreprises au Maroc, dans le Golfe et en Europe. En anglais, francais et arabe.

1responsable senior unique, du périmètre à la restitution

5-7jdu lancement au rapport, pour un périmètre standard

24hpour signaler toute faille critique

30jdelai de contre-vérification, sans frais

Testé selon, mis en correspondance avec

OWASP Top 10OWASP ASVSOWASP API Security Top 10NIST SP 800-115PTESMITRE ATT&CKCVSS v3.1ISO 27001SOC 2PCI DSS

// nos rapports servent de preuve lors d'un audit · vérifiez toujours les exigences auprès de votre auditeur

L'engagement

Conçu pour tester en conditions réelles.

Chaque mission est pensée pour produire une preuve sur laquelle un auditeur, un régulateur ou un client peut s'appuyer, pas un export de scanner théorique avec un logo dessus.

Piloté par un senior, de bout en bout

Un testeur certifié OSCP/OSEP cadre, mène et restitue chaque rapport personnellement. Aucun profil junior substitué après la signature, et un seul interlocuteur responsable tout du long.

Périmètre fixe, prix fixe

Un devis écrit suit un appel de 30 minutes. Si le périmètre change, vous connaissez le prix avant tout travail supplémentaire.

La preuve avant le volume

Un rapport plus court, avec des failles que nous avons exploitées et pouvons rejouer, vaut mieux qu'une longue liste issue d'un scanner. Chaque faille s'accompagne de sa preuve ainsi que de la façon d'y remédier.

Les failles critiques n'attendent pas

Toute faille critique parvient à votre équipe sous 24 heures, pas des semaines plus tard dans un PDF.

Assisté par IA, sur infrastructure privée

Nous utilisons des outils d'IA pour accélérer la reconnaissance et la rédaction, mais ils fonctionnent sur une infrastructure que nous possédons, pas sur un produit d'IA tiers. Rien de vos systèmes ne quitte notre environnement, et chaque exploitation reste vérifiée et menée à la main.

Prestations

Quatre facons de tester, un seul niveau de preuve.

Chaque mission est cadrée sur ce que vous exploitez réellement. Toutes sont pilotées par un senior et produisent la même preuve, prête pour l'audit.

Test d'intrusion d'application web

Un test manuel calqué sur votre logique métier réelle, pas une liste de contrôle de scanner.

Les applications web modernes cèdent rarement au seul niveau de l'OWASP Top 10. Elles cèdent entre les fonctionnalités : une remise qui se cumule après un changement de rôle, une relance de webhook qui saute un contrôle, un point de terminaison enfoui à trois clics qu'un scanner n'atteint jamais. Nous cartographions l'application à la main à partir du trafic réel et, lorsque vous le fournissez, du code source, puis nous travaillons les failles qu'une liste de contrôle laisse passer.

Ce que couvre le test

Authentification, sessions et cycle de vie des jetons
Abus de logique métier sur des parcours en plusieurs étapes
Risques côté client : DOM XSS, pollution de prototype, scripts tiers
Découverte de contenu : anciens points de terminaison, analyse des bundles JS, forced browsing

Pertinent si

Vous exploitez une application destinée à vos clients et il vous faut plus qu'un scan automatisé avant un lancement ou un audit — fréquent dans le SaaS, l'e-commerce et la fintech, sans s'y limiter.

OWASP Top 10Business logicClient-sideSource review

Test d'intrusion d'API

REST et GraphQL, testés comme les données clients fuient réellement : rôle par rôle.

La plupart des brèches d'API sérieuses ne viennent pas d'une règle de WAF manquante, mais d'un point de terminaison qui à oublie de vérifier qui formule la demande. Nous construisons une cartographie des routes à partir de votre spécification OpenAPI et du trafic réel, puis nous rejouons chaque appel avec chaque rôle et chaque tenant que vous nous fournissez, en comparant ce qui devrait être refuse à ce que le serveur renvoie réellement.

Ce que couvre le test

Contrôle d'accès au niveau objet et fonction (BOLA / BFLA)
Mass assignment et exposition excessive de données
Authentification : gestion des JWT, flux OAuth, SSO
Risques propres à GraphQL : introspection, batching, abus de profondeur

Pertinent si

Votre produit est conçu API-first, ou votre application web n'est qu'un client léger au-dessus d'une API jamais testée seule — typique de la fintech, de la logistique et des plateformes SaaS à fortes intégrations.

BOLA / BFLAOAuth & SSOGraphQLRate limiting

Roles et contrôle d'accès

La preuve écrite qu'aucun compte ne peut atteindre des données ou des actions qui ne lui sont pas destinées.

Que vous ayez des comptes clients, des comptes employés ou les deux sur le même système, la faille la plus coûteuse reste invisible de l'extérieur : un attribut pris pour argent comptant côté client au lieu d'être vérifie sur le serveur, un parcours d'invitation qui déborde d'un compte à l'autre, un rôle support capable de faire discrètement ce qui devrait être réservé à un propriétaire. Nous construisons une matrice rôle par rôle pour chaque type de compte et nous la parcourons méthodiquement, car ce type de faille finit dans un titre de presse, pas dans un journal des modifications.

Ce que couvre le test

Matrice complète : chaque point de terminaison, chaque rôle que vous définissez
Elévation horizontale (un compte atteignant les données d'un autre)
Elévation verticale (un rôle inférieur atteignant des fonctions d'administration)
Cas limites d'invitation, d'intégration et de liaison de comptes

Pertinent si

Plus d'un type de compte — clients, employés, administrateurs — utilise le même système : vrai pour le SaaS, les portails de santé et les back-offices e-commerce, que vous vendiez ou non à plusieurs entreprises depuis ce système.

Role matrixHorizontal escalationVertical escalationMulti-account

Revue de configuration cloud

Les paramètres AWS, Azure ou GCP qui influent réellement sur le rayon d'impact de votre application.

Un compte cloud compte des milliers de paramètres, dont la plupart n'ont aucune incidence sur votre application precise. Il ne s'agit pas d'un contrôle générique qui vous remet 200 failles mineures à ignorer. Nous examinons la configuration autour de l'application concernée : qui peut endosser quel rôle, quel stockage est réellement accessible, comment circulent les secrets entre services, et ce qu'un attaquant pourrait atteindre de l'intérieur en cas de compromission.

Ce que couvre le test

Rôles IAM, politiques et limites de privilèges
Exposition du stockage (S3 / GCS / Blob) et politique de bucket
Limites réseau : groupes de sécurité, peering, points de terminaison publics
Gestion des secrets et authentification entre services

Pertinent si

Vous voulez une revue cadrée sur l'application testée, pas un audit générique de 40 pages sur l'ensemble du compte — pertinent d'une API fintech à un tableau de bord logistique.

IAMStorage exposureNetwork boundariesSecrets

Egalement sur demande : réseau interne et Active Directory (hypothèse de compromission), missions de red team, applications mobiles et réseaux sans fil. Périmètre défini individuellement après un appel.

Un besoin mixte, ou absent de cette liste ?

Applications mobiles, réseaux sans fil, découverte de surface d'attaque, ou un périmètre qui combine deux des éléments ci-dessus : dites-nous ce que vous cherchez à établir et nous vous proposerons une approche adaptée.

En discuter →

Tarifs

Vallum Proof, et des formules autour.

Vallum Proof est notre mission de référence : un test complet de votre application et de son API, une lettre d'attestation et une contre-vérification offerte — tout ce qu'il faut pour satisfaire un audit ou une revue client. Des périmètres plus petits ou plus larges s'articulent autour. Chaque prix est fixe après un appel de 30 minutes.

Launch Check

des 4 200 $ HT / dès 3 900 € HT

1 application web ou 1 API, jusqu'à 3 roles, rapport, contre-vérification offerte. 3 à 4 jours de test.

La mission de référence

Vallum Proof

7 500 $ HT / 6 900 € HT

Application web + son API + matrice de rôles complète jusqu'à 6 rôles, rapport, lettre d'attestation, contre-vérification offerte. 6 à 7 jours.

Vallum Proof + Cloud

9 600 $ HT / 8 900 € HT

Vallum Proof, auquel s'ajoute la revue de configuration cloud autour de cette application. 8 à 9 jours.

Formule annuelle

12 900 $ HT/an / 11 900 € HT/an

Vallum Proof une fois par an, plus un Launch Check après une version majeure. Planification prioritaire.

Formule	Ce qui est inclus	USD	EUR
Launch Check	1 application web ou 1 API, jusqu'à 3 rôles, rapport, contre-vérification offerte. 3 à 4 jours de test.	des 4 200 $ HT	des 3 900 € HT
Vallum Proof	Application web + son API + matrice de rôles complète jusqu'à 6 rôles, rapport, lettre d'attestation, contre-vérification offerte. 6 à 7 jours.	7 500 $ HT	6 900 € HT
Vallum Proof + Cloud	Vallum Proof, auquel s'ajoute la revue de configuration cloud autour de cette application. 8 à 9 jours.	9 600 $ HT	8 900 € HT
Formule annuelle	Vallum Proof une fois par an + un Launch Check après une version majeure, planification prioritaire.	12 900 $ HT/an	11 900 € HT/an

Autres prestations (réseau interne, red team, mobile) à partir de 1 200 $ HT / 1 100 € HT par jour, chiffrées après un appel.

Paiement : 50 % au lancement, 50 % à la remise du rapport. Devis en MAD disponibles pour les clients basés au Maroc.

Chaque prix est fixe après un appel de cadrage de 30 minutes. Tout changement de périmètre est chiffré avant le debut des travaux.

Audits

Pour les audits, les régulateurs et les revues clients.

Ce qu'un auditeur attend d'un test d'intrusion, et ce que vous recevez.

Ce qu'un auditeur attend d'un test d'intrusion

Un test mène par un tiers indépendant et qualifié
Un périmètre défini, des dates de test et une méthodologie (OWASP, NIST SP 800-115)
Des failles classées par gravité, preuves à l'appui
La preuve que les failles critiques et élevées ont ete corrigées (une contre-vérification)
Un test au moins une fois par an, et après tout changement majeur

Ce que vous recevez

Le rapport technique complet
Une synthèse à destination de la direction
Une lettre d'attestation à partager avec vos auditeurs et clients, sans détail technique
Une contre-vérification offerte sous 30 jours et un courrier mis à jour
La mise en correspondance du test avec les mesures ISO 27001:2022 8.8 et 8.29, et SOC 2 CC4.1 et CC7.1

Egalement pertinent pour le SAMA CSF et le NCA ECC en Arabie saoudite, et pour DORA concernant les entités financières de l'UE. Vérifiez toujours les exigences de votre auditeur ou de votre régulateur.

Utile aussi lorsqu'un questionnaire de sécurité client réclame un test d'intrusion récent — le rapport et la lettre d'attestation ci-dessus sont concus pour y répondre directement.

Périmètre

De quelle prestation avez-vous réellement besoin ?

Voici les trois que l'on confond le plus souvent. Les prestations Interne & AD et Red Team sont cadrées individuellement après un appel ; voici précisement ce que chacune couvre.

	Pentest Web / API	Interne & ADHypothèse de compromission	Red Team
Objectif	Recenser et noter chaque faille	Recenser et noter chaque faille, depuis l'intérieur	Atteindre un objectif convenu, sans être détecté
Point de depart	Externe, identifiants fournis	Point d'appui interne suppose	Sans connaissance préalable, entrée réelle
Reconnaissance	Legere	Legere	Approfondie, OSINT compris
Phishing / ingénierie sociale	—	—	Si autorisé
Mode de couverture	Exhaustif	Exhaustif, périmètre interne	Axe sur l'objectif : la profondeur avant l'étendue
Format du rapport	Liste de failles, notees CVSS	Liste de failles, notees CVSS	Récit chronologique + failles
Duree habituelle	3 à 10 jours	5 à 10 jours	2 à 4 semaines
Convient pour	Preuves d'audit et de conformité	Tester la défense en profondeur	Tester les personnes, les processus et la détection

Vous hésitez ? Dites-nous ce que vous devez prouver à votre auditeur, à votre conseil ou à vos clients, et nous vous dirons clairement laquelle y répond, ou s'il vous en faut deux.

Adequation

A qui cela est-il destiné et à qui cela ne l'est-il pas ?

Un bon choix si

Vous êtes une PME avec un site, une application, un réseau ou un environnement cloud à proteger — SaaS, fintech, logistique, santé et e-commerce sont fréquents, sans être une limite
Un client, un régulateur ou un auditeur réclame un test d'intrusion
Vous voulez une seule personne senior responsable, pas une équipe mouvante
Vous disposez d'un environnement hors production (ou d'une fenêtre de maintenance) et d'un interlocuteur technique pour répondre aux questions

Pas adapte si

Vous voulez un simple scan de vulnérabilités rebaptisé test d'intrusion
Vous avez besoin d'une surveillance 24/7 ou d'une détection gérée
Vous avez besoin d'une équipe de dix testeurs pour un red team de plusieurs semaines
Vous voulez un rapport vierge quel que soit le résultat du test

Le livrable

Un rapport exploitable par vos ingénieurs et archivable par votre auditeur.

01
Synthèse pour la direction avec le risque global et les trois priorités, pour les dirigeants et les clients.
02
Failles avec scores CVSS, références CWE, preuves et étapes de reproduction, pour les ingénieurs.
03
Chaines d'attaque montrant comment les failles se combinent, pour corriger les bonnes choses en priorité.
04
Feuille de route de remédiation avec responsables, charge et dates cibles.
05
Points positifs, pour que le rapport montre aussi ce qui fonctionne.
06
Courrier d'attestation à partager avec auditeurs et clients sans exposer le détail technique.

Obtenir l'exemple complet Reserver un appel

PDF · 8 pages

NW-PT-2026-014 · FINDING F-01SAMPLE, FICTIONAL CLIENT

HighCVSS 8.1CWE-639

Acces inter-tenant aux factures

Description

Les points de terminaison de facturation vérifient que l'utilisateur est connecté, mais pas que la facture appartient à son organisation. Les identifiants de facture sont sequentiels : un client peut donc lire ou modifier les factures de n'importe quel autre client.

Preuve

GET /api/v2/invoices/1043 Authorization: Bearer [Tenant A, Customer User] 200 OK {"org_id":"org_b81", ...}

Remédiation

Vérifier l'organisation de la facture par rapport à celle de l'appelant, dans la couche de données, pour chaque lecture et écriture, et ajouter des tests automatisés inter-tenants.

Rapport complet : 11 élements

2 High4 Medium3 Low2 Info

Déroulement

Du premier appel à la contre-vérification en cinq semaines environ.

JOUR 0

Appel de cadrage

30 minutes. Un devis écrit à prix fixe suit sous 2 jours ouvres.

J. 2-7

Autorisation

NDA, lettre d'autorisation, comptes de test pour chaque rôle, et notre IP source sur votre liste blanche.

SEMAINE 2

Test

3 à 5 jours pour une application de taille moyenne. Les failles critiques vous parviennent sous 24 heures.

SEMAINE 3

Rapport et restitution

Rapport sous 2 jours ouvrés après le test, puis un appel pour le parcourir avec vos ingénieurs.

SEM. 4-6

Contre-vérification

Les corrections des failles critiques et élevées sont revérifiées sous 30 jours, avec une lettre d'attestation mise à jour.

Estimateur de périmètre

Estimez en gros la duree de votre test.

Indiquez la taille de votre plateforme. L'estimation est indicative : le prix fixe est confirmé apprès un appel de cadrage.

Le paiement s'effectue à 50 % au lancement et à 50 % à la remise du rapport.

Applications web

Application client, back-office, widgets

API

Interfaces publiques et internes

Rôles utilisateur

Niveaux de permission distincts à tester

Ajouter une revue de configuration cloud Ajouter un test du réseau interne et d'Active Directory

Charge indicative

8-11 jours

8 800 $–12 100 $ HT / 8 000 €–11 000 € HT

Prix indicatif, HT. Le prix fixe est confirmé apprès l'appel de cadrage.

Demander un devis pour ce périmètre Reserver un appel

Derrière Vallum

Qui pilote votre mission.

Ismail Regragui

Fondateur · Testeur d'intrusion principal

Je pilote chaque mission Vallum. J'ai mène des travaux de sécurité offensive pour des banques, des acteurs de la santé et des entreprises technologiques, et présenté leurs résultats aussi bien à des dirigeants qu'à des ingénieurs.

J'ai testé des cibles réelles comme membre du Synack Red Team, et j'explique le risque technique dans des termes que comprennent les conseils d'administration et les régulateurs, aidé par un doctorat en science politique de Sciences Po. Vallum travaille en anglais, francais et arabe.

Pourquoi Vallum ? C'est le mot latin désignant le rempart de terre et de pieux qui marquait une frontière romaine. Une ligne ne vaut que par son point le plus faible, et trouver ce point, c'est tout le travail.

OSCPOffensive Security Certified Professional

OSEPOffensive Security Experienced Penetration Tester

BSCPBurp Suite Certified Practitioner

OSWPOffensive Security Wireless Professional

Confiance

Ce qui est déjà en place.

DPA avec clauses contractuelles types de l'UE disponible sur demande Données supprimées 90 jours après la contre-vérification

Questions

Ce que les équipes demandent avant de se lancer.

Le test va-t-il affecter notre environnement de production ?

Par défaut, nous testons un environnement de préproduction avec des données de test : la production n'est donc pas touchée. Si un test en production s'avère nécessaire, nous en fixons les règles par écrit au préalable : débit des requêtes, horaires, et un contact d'urgence de votre côté.

Que vous faut-il de notre part pour démarrer ?

Un environnement de préproduction avec des données de test, des comptes pour chaque rôle, la documentation de l'API ou un fichier OpenAPI, notre IP source autorisée sur votre pare-feu, et une autorisation écrite du propriétaire du système.

Que se passe-t-il si vous trouvez une faille critique ?

Vous en êtes informe sous 24 heures, avec assez de details pour commencer à corriger, au lieu d'attendre le rapport final.

Le rapport peut-il être transmis à notre auditeur et à nos clients ?

Oui. Le rapport est rédigé dans ce but, et nous fournissons également une courte lettre d'attestation, partageable sans exposer de détail technique.

Comment le prix est-il fixé ?

Vous obtenez un prix fixe après un appel de cadrage de 30 minutes, selon le nombre d'applications, d'API et de rôles, et la profondeur requise. Tout changement de périmètre est chiffré avant le debut des travaux.

Comment traitez-vous nos données ?

Les résultats et les preuves restent sur une machine dédiée et chiffrée, partages uniquement via un canal que vous approuvez. Sauf demande contraire, les données de travail sont supprimées 90 jours après la contre-vérification.

Utilisez-vous des outils d'IA ? Nos données sont-elles en sécurité ?

Nous utilisons des outils d'IA pour accélérer une partie de notre travail, en corrélant les données de reconnaissance et en rédigeant des sections du rapport, mais ils fonctionnent sur une infrastructure que nous possédons et contrôlons, pas sur un produit d'IA tiers. Rien de vos systèmes, identifiants ou résultats n'est transmis à un service d'IA externe. Chaque faille reste vérifiée et exploitée à la main avant de figurer au rapport.

D'ou travaillez-vous ?

Vallum est établi à Rabat, au Maroc, et travaille à distance avec des clients dans le monde entier. Le NDA et la lettre d'autorisation nomment les adresses IP source depuis lesquelles nous testons, afin que votre équipe reconnaisse notre trafic.

Travaillez-vous avec des entreprises du Golfe ?

Oui — tests à distance depuis Rabat ; le décalage horaire est de 2 à 3 heures avec le Golfe, et les rapports sont fournis en anglais ou en arabe. Les travaux pour l'État ou les infrastructures critiques nécessitant une licence locale, comme le NCA en Arabie saoudite ou le DESC à Dubaï, ne sont pas encore proposés.

Dans quelle devise facturez-vous ?

En USD ou en EUR, et en MAD pour les clients au Maroc.

Pouvez-vous signer notre NDA et notre DPA ?

Oui. Pour les clients de l'UE, le DPA intègre les clauses contractuelles types.

Dites-nous ce que vous voulez tester.

Envoyez-nous votre application, votre échéance, et l'audit ou la revue client qui réclame le rapport. Vous obtiendrez un appel de cadrage et un devis à prix fixe.

Reserver un appel de 30 minutes Nous écrire Nous suivre sur LinkedIn

Vous préférez l'e-mail ? ismail@vallumsec.com · les liens mailto ne s'ouvrent pas chez tout le monde : cette adresse est donc en texte simple, à copier.