Je vais pentester et sécuriser votre application mobile

Les deux. Je teste les applications natives iOS (Swift/Objective-C), Android (Kotlin/Java), ainsi que les applications multiplateformes (React Native, Flutter, Xamarin, Ionic). Si vous avez les deux plateformes, je recommande de les tester ensemble car elles partagent souvent le même backend mais présentent des faiblesses côté client différentes.

De quoi avez-vous besoin pour commencer ? Quatre choses : - La build (IPA, APK ou AAB) ou un lien vers la boutique - Comptes de test avec différents niveaux de privilèges - Un périmètre clair incluant les fonctionnalités en scope et tout backend concerné.

Non. Je réalise par défaut des tests black-box et grey-box en décompile et en ingénierie inverse de la build. Si vous fournissez le code source, je peux faire une revue hybride et détecter des problèmes supplémentaires, mais ce n’est pas obligatoire.

Oui. Les APIs avec lesquelles votre application communique sont incluses par défaut, c’est là que se trouvent généralement les vulnérabilités les plus impactantes (BOLA/IDOR, auth cassé, failles de logique métier). Si votre backend appartient à un tiers, j’aurai aussi besoin de leur autorisation écrite.

Vous recevez un résumé exécutif pour la direction, un rapport technique avec le scoring CVSSv4, une preuve de concept, des captures d’écran et des étapes de reproduction pour chaque vulnérabilité, ainsi qu’un guide de remédiation prioritaire que vos développeurs peuvent suivre. Conforme à OWASP MASVS.

Non. Les tests sont réalisés sur un environnement de test dédié ou une build non en production autant que possible. Si un test en production est nécessaire, nous convenons de fenêtres sûres et d’exclusions.

Toujours. Je travaille sous NDA, stocke les artefacts sur des supports cryptés, et détruis en toute sécurité tous les fichiers de build, identifiants et résultats 30 jours après la clôture du projet (ou selon votre politique de conservation).