Pour qui

Pentesteurs juniors et confirmés qui veulent une méthode de niveau professionnel, pas une liste de payloads.
Chasseurs de bug bounty qui veulent comprendre pourquoi une vulnérabilité existe et la signaler avec son impact.
Développeurs et ingénieurs en sécurité applicative qui testent les applications de leur propre entreprise.

Ce que vous saurez faire

Cadrer un test web ou API avec une autorisation écrite, des règles d’engagement et un plan de test.
Cartographier la surface d’attaque à la fois depuis l’application en fonctionnement et depuis son code source.
Trouver et confirmer les failles d’authentification, de contrôle d’accès et de cloisonnement multi-clients avec une méthode reproductible.
Exploiter des vulnérabilités côté serveur et côté navigateur en lab, et choisir des preuves sans risque pour les systèmes en production.
Tester la logique métier et les situations de concurrence que les scanners automatiques ne savent pas modéliser.
Rédiger un rapport avec impact, preuves et remédiation, puis vérifier le correctif sur une version corrigée.

Prérequis

Vous comprenez HTTP, les cookies, les en-têtes et le fonctionnement des applications web et des API.
Vous avez utilisé Burp Suite ou Caido et résolu quelques labs de sécurité web, par exemple sur PortSwigger Web Security Academy.
Vous lisez un peu de code, travaillez avec Linux et Docker, et pouvez suivre une formation en anglais. Nous commençons par une courte évaluation de votre niveau.

Programme

Huit modules dans l’ordre d’une vraie mission, adaptés à votre niveau.

01Les bases de la missionConvenez de ce que vous pouvez tester et comment, avant d’envoyer la moindre requête.
- Autorisation écrite et règles d’engagement
- Cadrer applications, API, environnements, comptes et rôles
- Un plan de test aligné sur l’OWASP WSTG et l’ASVS
- Gérer les preuves et les données personnelles en toute sécurité
02Reconnaissance et cartographie de la surface d’attaqueTrouvez tous les points d’entrée, depuis l’extérieur comme depuis le code.
- Le crawl comparé aux routes déclarées dans le code source
- Spécifications OpenAPI, schémas GraphQL et bundles JavaScript
- Une matrice rôles × endpoints
- Choisir quoi tester en premier
03Tests d’authentification et de sessionTestez la façon dont l’application décide de votre identité.
- Connexion, MFA, réinitialisation du mot de passe et gestion des sessions
- Failles JWT, OAuth et OpenID Connect
- Chaînes de prise de contrôle de compte
- Confirmer la cause dans le code
04Contrôle d’accès et environnements multi-clientsProuvez si un utilisateur peut atteindre les données ou les fonctions d’un autre.
- La méthode des deux comptes pour BOLA, IDOR et BFLA
- Élévation de privilèges et sortie du cloisonnement entre clients
- Contrôles d’autorisation semi-automatisés
- Lire dans le code le contrôle manquant
05Injections côté serveur et falsification de requêtesExploitez le serveur, et sachez jusqu’où aller sur un système en production.
- Injections SQL, de commandes et de templates
- SSRF, path traversal, XXE et désérialisation non sûre
- Téléversement de fichiers et détournement de parseurs
- Preuves sans risque en production face à l’exploitation complète en lab
06Vulnérabilités côté navigateurTestez ce que l’application permet à un attaquant de faire dans le navigateur d’une victime.
- XSS selon le contexte, et ce que la CSP bloque ou non
- CSRF, CORS et clickjacking
- postMessage et routage côté client
- Démontrer l’impact de façon responsable
07Logique métier, concurrence et abus d’APIEnfreignez les règles du produit, pas seulement son parseur.
- Détournement des parcours et des états
- Situations de concurrence sur les limites, les soldes et les coupons
- Mass assignment, limitation de débit et webhooks
- L’OWASP API Security Top 10 en pratique
08Impact, rapport et contre-auditTransformez les vulnérabilités en décisions, puis confirmez les correctifs.
- Enchaîner les vulnérabilités et exprimer l’impact réel
- Criticité avec le CVSS v4.0 et le contexte métier
- Preuves reproductibles et synthèse pour la direction
- Vérification de la remédiation sur une version corrigée

Travaux pratiques

Labs par module

Des labs sur des applications préparées pour la formation, avec le code source disponible, pour confirmer chaque vulnérabilité à sa source.

Exercices à deux comptes

Des exercices reproductibles de tests de contrôle d’accès et de cloisonnement entre clients, le domaine où les applications réelles échouent le plus souvent.

Exercices de rédaction de rapport

De courts exercices d’écriture qui transforment des constats bruts en entrées de rapport exploitables à la fois par un développeur et par un manager.

Évaluation finale

Une mission complète, du cadrage au contre-audit

Un test au temps limité d’une application SaaS à plusieurs rôles conçue pour la formation, avec accès au code source. Vous rédigez le périmètre et le plan de test, testez, rédigez le rapport, puis menez le contre-audit d’une version corrigée. Nous passons votre rapport en revue ensemble.

Critères d’évaluation

Un périmètre et un plan de test conformes aux règles d’engagement
La couverture de l’authentification, du contrôle d’accès et de la logique métier
Des vulnérabilités confirmées et reproductibles, avec une criticité bien fondée
Des preuves sûres et proportionnées
Un rapport exploitable à la fois par un développeur et par un manager
Un contre-audit précis des correctifs

Ce qui distingue cette formation

Un apprenant, un formateur

Vous testez à mes côtés, et chaque séance part de ce que vous avez trouvé depuis la précédente.

Boîte noire et boîte blanche ensemble

Vous testez l’application en fonctionnement et confirmez chaque vulnérabilité dans son code source : c’est ainsi qu’on distingue une vraie vulnérabilité d’une coïncidence.

Une mission complète

Le cadrage, le rapport et le contre-audit sont enseignés et évalués au même titre que l’exploitation, avec des CVE récentes que j’ai analysées comme cas d’étude.

Outils utilisés

Burp Suite Community / Pro
Caido
ffuf
sqlmap
curl / HTTPie
Browser DevTools
Semgrep
Docker

Normes et références

Études de cas à lire dès maintenant

Questions sur cette formation

Est-ce une formation au hacking éthique pour débutants ?

Non. Elle suppose que vous connaissez les bases de la sécurité web. Si vous partez de zéro, les ressources gratuites comme PortSwigger Web Security Academy sont la bonne première étape, et l’évaluation initiale montre si vous êtes prêt pour cette formation.

Combien de temps cela prend-il ?

Cela dépend de votre niveau de départ et du temps dont vous disposez entre les séances. Nous fixons un parcours après l’évaluation initiale et l’ajustons au fil de votre progression.

Ai-je besoin de Burp Suite Professional ?

Non. Les labs fonctionnent avec Burp Suite Community ou Caido. Lorsqu’une fonction de la version Professional fait gagner du temps, je vous montre une alternative gratuite.

La formation couvre-t-elle les réseaux ou Active Directory ?

Non. Elle est centrée sur les applications web et les API, là où je réalise mes propres tests.

Quand puis-je commencer ?

Envoyez un court message sur votre niveau et vos objectifs. Je réponds sous trois jours pour fixer un appel d’évaluation gratuit de 20 minutes ; nous convenons ensuite de votre programme et de votre date de démarrage.

Combien cela coûte-t-il ?

Chaque formation coûte 1 490 USD pour une dizaine de séances individuelles de 90 minutes, avec labs, correction des exercices, évaluation finale et attestation. Les deux formations ensemble coûtent 2 690 USD, et une séance à l’unité de 90 minutes coûte 150 USD.

Comment se déroule la formation individuelle ?

Nous nous retrouvons en ligne pour des séances en direct. Entre deux séances, vous travaillez sur les labs et les exercices que je vous donne selon votre niveau, et nous passons vos résultats en revue à la séance suivante. Le rythme suit votre progression, pas un calendrier figé.

Dans quelle langue se déroulent les séances ?

En anglais pour les apprenants internationaux. Les arabophones peuvent choisir l’arabe ou l’anglais ; les séances en arabe conservent les termes anglais que vous verrez dans les outils, les rapports et les offres d’emploi.

Y a-t-il des séances en présentiel ?

Non. Toutes les séances, les labs, les exercices et les retours se font en ligne.

Vais-je recevoir une attestation ?

Vous recevez une attestation de fin de formation lorsque vous réussissez l’évaluation finale. Elle est délivrée par moi et ne constitue pas une certification reconnue par la profession comme l’OSWE. Ce qu’un employeur peut vérifier, c’est le travail lui-même : votre rapport final.

Les exercices pratiques sont-ils légaux ?

Oui. Tous les travaux pratiques portent sur des applications que j’ai préparées pour la formation et sur des projets open source dans des versions ayant fait l’objet d’avis publiés, exécutés sur votre propre machine. Vous ne testez jamais un système qui ne vous appartient pas ou pour lequel vous n’avez pas d’autorisation écrite.

Et si j’ai besoin de plus de temps ?

Si vous avez besoin de plus de séances que prévu, chaque séance supplémentaire coûte 150 USD, et nous la convenons à l’avance.

Pour aller plus loin

Approfondissez le versant code avec la formation à la revue de code sécurisé.

Formation individuelle au test d’intrusion d’applications web