Pilier 03 · Cybersécurité
Sooatek audite la sécurité de vos applications web et mobiles et leur conformité technique au RGPD, corrige ce qu’elle trouve et durcit vos serveurs. L’équipe qui audite est celle qui code : aucun rapport laissé en plan.
§ 01 / Ce que nous faisons
Quatre volets, du premier audit à l’intervention d’urgence, sur des applications déjà en ligne.
Revue de code et de configuration, OWASP ASVS, secrets et dépendances exposés, contrôle d’accès, volet technique du RGPD (article 32). Score sur 100, verdict Go/No-Go.
Ce que l’audit a trouvé, ou ce qu’un tiers vous a signalé : corrigé, puis contre-vérifié. Double authentification, revue des accès, en-têtes, TLS, messagerie (SPF, DKIM, DMARC).
Avis de sécurité critique ou faille signalée : sauvegarde vérifiée, parade posée, correctif appliqué, contrôle depuis l’extérieur, rapport écrit.
Surveillance mensuelle des vulnérabilités avec tri humain, contrôles de sécurité dans votre intégration continue, montées de version avant la fin du support.
§ 02 / Offres
Commencez par l’audit, ou directement par la correction si un rapport existe déjà (le nôtre ou celui d’un tiers). L’audit express couvre un site vitrine ou une application simple, en 2 jours. Jusqu’à 3 fois moins cher que le marché européen, à niveau d’exigence égal.
Offre 09
5 joursUn score sur 100, les failles classées, un verdict clair et un plan de correction, par l’équipe qui sait corriger.
Inclus
Tarif
Au forfait, sur devis
Offre 10
1 à 2 semainesLes failles corrigées, les bases durcies, la surveillance en place, et un plan pour préparer NIS2.
Inclus
Tarif
Au forfait, sur devis
Agences et ESN : −20 % sur le tarif direct, en marque blanche. Le programme agences
Comparer toutes les offres§ 03 / Méthode
Méthode
Une méthode en 8 phases, suivie dans le même ordre à chaque audit. Une revue humaine valide chaque constat avant le rapport.
Ensuite
§ 04 / Référentiels et outils
Les constats s’appuient sur des grilles reconnues ; les contrôles automatiques complètent la revue humaine, ils ne la remplacent pas.
Les failles sont classées selon CVSS et OWASP.
Analyse statique
Le code est parcouru à la recherche de motifs dangereux.
Outil : Semgrep
Détection de secrets
Clés et mots de passe, jusque dans l’historique Git.
Outil : Gitleaks
Analyse des dépendances
Les bibliothèques utilisées, comparées aux vulnérabilités connues.
Outil : Trivy
Recherche et développement Nous outillons nos audits avec des agents d’IA confinés, sur des modèles locaux : le périmètre déclaré est le seul joignable, et un humain valide chaque constat.
§ 05 / Ce que vous recevez
La direction décide, les développeurs corrigent : chacun reçoit le document qui lui sert.
§ 06 / Ce que nous trouvons
Des constats types, sans nombre ni nom : aucun n’est rattaché à un client.
Un webshell déjà présent sur le serveur, déposé bien avant l’audit.
Un téléversement de fichiers sans authentification, qui mène à l’exécution de code.
Un back-office accessible sans authentification.
Des injections SQL dans des requêtes construites à la main.
Des outils d’administration de base de données exposés sur internet.
Des secrets en clair dans le dépôt Git, jusque dans l’historique.
Des données sensibles rangées dans la racine web.
Des versions de PHP ou de framework qui ne reçoivent plus de correctifs.
Le vrai travail consiste à les trouver toutes, à les corriger, puis à empêcher qu’elles reviennent.
§ 07 / Interventions
Clients anonymisés, sans détail exploitable.
Intervention 01
AnonymiséRésultat
Le nouveau scan du client n’a plus trouvé de chemin d’exploitation.
Intervention 02
AnonymiséRésultat
Constats prioritaires traités ; double authentification adaptative en production.
§ 08 / NIS2 et hygiène
La transposition française de la directive NIS2 n’est pas définitive au 26/10/2026. Une partie du travail ne dépend pas du texte final : c’est celle que nous faisons avec vous.
Avant ou à côté de nous
Un diagnostic de maturité gratuit, mené par un aidant : notre audit technique vient en complément, pas à la place.
En cas d’attaque en cours, commencez par là ; nous remettons ensuite vos applications en état.
Ce que nous ne faisons pas
§ 09 / Questions
L’audit sécurité et RGPD est un forfait de 5 jours, au prix fixé avant de commencer. Le plan de correction est chiffré dans le rapport.
Oui : c’est la différence avec un cabinet d’audit. La même équipe corrige, contre-vérifie et met en place des contrôles automatiques. Votre équipe peut aussi s’en charger avec notre rapport.
Non. Les tests actifs se font en préproduction, sur autorisation écrite. En production, nous observons sans attaquer.
Nous ne vendons pas de test d’intrusion qualifié (PASSI). Notre audit est un audit technique du code et de la configuration, avec des tests actifs ciblés en préproduction, suivi de la correction.
Cela dépend de votre taille et de votre secteur, et la loi française de transposition n’est pas définitive au 26/10/2026. Les mesures d’hygiène (double authentification, revue des accès, sauvegardes, inventaire) se préparent dès maintenant.
Nous posons d’abord les protections possibles, puis nous migrons au forfait.
Décrivez votre application en quelques lignes. Les demandes marquées « urgence » (objet de l’e-mail ou sujet « Urgence PHP2Shell » du formulaire) passent en tête de notre boîte. N’envoyez ni mot de passe ni détail exploitable par e-mail.
Avec votre accord, nous mesurons l’audience du site avec Google Analytics, de façon anonymisée. Les données sont transmises à Google, y compris hors de l’Union européenne. En savoir plus
