Test d'intrusion applicatif web

Définition

Le test d'intrusion applicatif web désigne une catégorie de test d'intrusion ciblant spécifiquement une application accessible via un navigateur, structurée le plus souvent autour du référentiel OWASP Testing Guide et couvrant méthodiquement les grandes familles de vulnérabilités du web moderne : défauts de contrôle d'accès et d'autorisation, failles d'injection, gestion défaillante de l'authentification et des sessions, vulnérabilités de logique métier propres au fonctionnement spécifique de l'application testée, et configurations de sécurité insuffisantes au niveau de l'infrastructure hébergeant l'application. Ce type de test combine généralement l'usage d'outils automatisés de découverte pour couvrir rapidement les familles de vulnérabilités les plus systématiques, avec une phase de test manuel approfondi indispensable pour identifier les failles de logique métier propres au contexte fonctionnel de l'application, structurellement invisibles à toute automatisation générique ne comprenant pas le sens réel des règles métier implémentées. Contrairement à un simple scan de vulnérabilités automatisé, le test d'intrusion applicatif web mobilise l'expertise humaine du testeur pour explorer des chaînes d'exploitation combinant plusieurs faiblesses individuellement mineures mais collectivement critiques une fois enchaînées astucieusement. Pour une organisation, ce type de test doit être mené avant toute mise en production d'une application critique, puis répété à intervalle régulier ou à chaque évolution fonctionnelle significative, la surface applicative évoluant continuellement au rythme des livraisons successives du produit.