Un test d'intrusion produit une photographie. Elle est nette, datée, signée, et elle commence à vieillir le jour même de la restitution. La question intéressante n'est pas de savoir si le pentest est utile — il l'est — mais de savoir ce que vous faites des onze mois pendant lesquels le rapport n'est plus tout à fait vrai.
Pourquoi un rapport de pentest vieillit
Trois forces érodent la validité d'un rapport, et elles agissent en parallèle.
La première est votre propre activité. Entre deux tests, vous livrez des versions applicatives, vous ouvrez des flux, vous ajoutez un connecteur SaaS, vous intégrez une filiale. Chaque changement modifie la surface exposée sans qu'aucun rapport ne soit mis à jour.
La deuxième est la publication de nouvelles vulnérabilités. Les bulletins du CERT-FR et les bases publiques de vulnérabilités s'enrichissent en continu. Un composant jugé sain au moment du test peut faire l'objet d'un avis critique trois semaines plus tard, sans que rien n'ait changé chez vous.
La troisième est l'évolution des techniques adverses. Les modes opératoires documentés dans des bases comme MITRE ATT&CK ne sont pas figés : ce qui n'était pas exploitable de façon réaliste à une date donnée peut le devenir.
Aucune de ces trois forces n'est une critique du pentest. Elles décrivent simplement la nature d'un instantané.
Ce que le pentest ponctuel apporte, et que rien ne remplace
Il faut être très clair sur ce point : la profondeur d'un test d'intrusion manuel n'est pas remplaçable par de l'outillage. Un pentesteur expérimenté trouve des choses qu'aucun scan ne trouvera jamais.
Il enchaîne des vulnérabilités individuellement mineures pour construire un chemin d'attaque crédible. Il comprend la logique métier d'une application et identifie qu'un utilisateur autorisé peut détourner une fonctionnalité légitime — une faille de conception, pas une faille technique. Il teste le contournement d'un contrôle d'accès dans un cas d'usage que le développeur n'avait pas anticipé. Il produit enfin une preuve d'exploitation, qui a une valeur de conviction incomparable devant une direction générale.
Un pentest annuel bien mené reste donc un investissement pertinent, et le remplacer par de la surveillance automatisée serait un mauvais arbitrage. La bonne question est celle de la complémentarité.
Le trou dans la raquette : la vie des constats
Observons ce qui se passe réellement après une restitution. Le rapport liste des vulnérabilités classées par criticité. L'équipe traite les plus graves dans les semaines qui suivent. Puis le rythme retombe.
Six mois plus tard, la situation typique est la suivante : personne ne sait avec certitude quelles vulnérabilités moyennes ont été corrigées, l'équipe qui a porté les corrections a partiellement changé, et le prochain pentest va redécouvrir une partie des constats précédents — ce qui est à la fois coûteux et démoralisant.
Le problème n'est pas le test, c'est que ses constats vivent dans un document au lieu de vivre dans un plan d'actions suivi. C'est exactement le point que Phishia traite en faisant converger ses prestations vers un référentiel unique : les vulnérabilités identifiées lors d'un audit ou d'un pentest alimentent le plan d'actions priorisé de GALEA, aux côtés des écarts de conformité et des risques issus des ateliers EBIOS RM. Le suivi devient un état, pas une pièce jointe.
À quoi ressemble un dispositif continu
Un dispositif équilibré combine quatre niveaux, dont un seul est ponctuel.
Le test d'intrusion périodique reste la pièce maîtresse pour la profondeur, sur un périmètre défini et avec une équipe qui a le temps de creuser.
La surveillance de l'exposition externe répond à une question différente : qu'est-ce qui est visible depuis Internet aujourd'hui ? Le module CTI/OSINT de Phishia couvre cette veille — actifs exposés, fuites d'identifiants, usurpations de domaine — indépendamment du calendrier des tests.
Le pilotage des constats assure que chaque vulnérabilité a un responsable, une échéance et un statut, et que l'information survit aux changements d'équipe.
L'ancrage dans l'analyse de risque donne le sens : une vulnérabilité n'a pas la même criticité selon l'actif qu'elle touche. Les cinq ateliers EBIOS Risk Manager, outillés dans GALEA avec plus de 1 000 scénarios de référence et un adossement à MITRE ATT&CK, fournissent ce contexte. Une faille sur un serveur de test isolé et la même faille sur le socle d'authentification n'appellent pas le même délai de correction.
Là encore, la validation humaine reste obligatoire avant inscription au registre des risques : l'assistance de l'agent TARS, adossé aux modèles de Mistral AI hébergés en France, ne se substitue pas à l'arbitrage d'un expert.
Quel rythme adopter selon votre profil
Il n'existe pas de fréquence universelle, mais quelques repères de bon sens se dégagent.
Si vous éditez une application exposée sur Internet et que vous livrez souvent, le rythme doit suivre celui de vos mises en production : tester une fois par an un logiciel qui change toutes les deux semaines a une valeur limitée. Si votre système d'information est stable et principalement interne, un test annuel complété par une surveillance d'exposition est un compromis raisonnable. Si vous entrez dans le périmètre de NIS2 ou de DORA, l'attente réglementaire porte explicitement sur l'évaluation régulière de l'efficacité des mesures, ce qui suppose une forme de récurrence documentée.
Dans tous les cas, le critère qui compte le plus n'est pas la fréquence des tests mais le taux de traitement des constats précédents. Si vous n'êtes pas capable de dire aujourd'hui où en sont les vulnérabilités du dernier rapport, augmenter la fréquence des tests ne réglera rien.
Questions fréquentes
Un scan de vulnérabilités remplace-t-il un pentest ?
Non. Un scan détecte des vulnérabilités connues sur des composants identifiés. Il ne trouve pas les failles de logique métier, n'enchaîne pas les vecteurs et ne produit pas de preuve d'exploitation. Les deux approches répondent à des questions différentes et se complètent.
Faut-il faire réaliser le pentest par le cabinet qui accompagne la conformité ?
Les deux organisations sont possibles. Confier le test à un tiers distinct renforce l'indépendance du regard ; le confier au même acteur améliore l'intégration des constats dans le plan d'actions. Une solution intermédiaire consiste à alterner les prestataires de pentest tout en conservant un référentiel de pilotage unique, que vous détenez.
Que demander dans un devis de pentest ?
Le périmètre exact, le niveau de connaissance accordé aux testeurs (boîte noire, grise ou blanche), le nombre de jours réellement consacrés aux tests hors rédaction, le profil et les certifications des intervenants, et le format de restitution des constats — en particulier leur exportabilité vers votre outil de suivi.
Sources
- CERT-FR — avis et alertes de sécurité de l'ANSSI
- MITRE ATT&CK — matrice des techniques adverses
- NVD — base nationale américaine des vulnérabilités
- ANSSI — portail cyber.gouv.fr (EBIOS Risk Manager, NIS2)
- Phishia — offres pentest & audit, CTI/OSINT
Sources consultées le 23 septembre 2026. Aucun prestataire de test d'intrusion n'est nommé : la comparaison porte sur deux modes d'organisation, non sur des acteurs identifiés.