Un test utile est un test autorisé, borné et traçable.
1. Scan gratuit
Le scan gratuit est limité à une analyse externe passive du domaine déclaré. Il ne réalise pas d’exploitation, de bruteforce, de contournement d’authentification, d’envoi de charge, de modification de données ni de test sur un réseau interne. En lançant le scan, vous confirmez contrôler la cible ou disposer d’une autorisation suffisante.
2. Mission active ou authentifiée
Avant toute analyse active ou authentifiée, AxiSecurity exige une vérification de propriété ou un mandat du titulaire légitime, un périmètre écrit, les environnements inclus et exclus, une fenêtre de test, des contacts d’urgence, des limites de débit et une procédure d’arrêt. Les environnements de préproduction sont privilégiés lorsqu’ils permettent d’atteindre l’objectif sans risque disproportionné.
3. Interdictions par défaut
Sont exclus sans accord écrit spécifique : déni de service, saturation, phishing, ingénierie sociale, exploitation destructive, effacement ou modification de données, collecte massive, attaque de tiers, pivot hors périmètre et usage de crédentiels non fournis ou non autorisés.
4. Arrêt et signalement
Le client peut demander l’arrêt d’une mission par le canal défini dans le mandat. AxiSecurity peut également interrompre toute action présentant un risque pour la disponibilité, l’intégrité, la confidentialité, la sécurité physique ou le respect du droit. Les observations critiques sont signalées conformément au circuit d’escalade convenu.
5. Restitution
Les livrables précisent le périmètre, les limites, les techniques, les éléments de preuve utiles, les risques, les recommandations et, lorsque prévu, les conditions d’un contre-test. Les résultats doivent être traités comme des informations de sécurité confidentielles.