Que contient un rapport ?

Un bon rapport se lit à deux niveaux. Une synthèse pour la direction dit, en langage clair, ce qui a été testé, ce qui a été trouvé, le niveau de risque global et les priorités. Un détail technique reprend chaque faille pour les équipes qui vont corriger. Le même document sert le dirigeant qui décide et l’ingénieur qui applique.

Pour chaque constat, vous trouvez toujours les mêmes rubriques, pour qu’il n’y ait rien à deviner :

• La preuve : une capture ou une trace qui montre que la faille est réelle, pas théorique.
• La gravité : un niveau à partir du score CVSS ou d’une grille convenue, en tenant compte de votre contexte.
• Le scénario d’exploitation : comment un attaquant s’en servirait, et jusqu’où il irait.
• La reproduction : les étapes pour retrouver la faille vous-même.
• La correction : une recommandation réaliste, adaptée à vos contraintes, pas un copier-coller générique.

Les constats sont classés par gravité et par effort de correction, pour que vos équipes sachent quoi traiter en premier. L’objectif n’est pas d’allonger la liste, mais de rendre chaque ligne actionnable. Les vulnérabilités critiques vous sont d’ailleurs signalées en cours de mission, sans attendre le rapport.

Une fois les corrections appliquées, je revérifie qu’elles sont efficaces et je mets le rapport à jour. Vous obtenez alors un document qui ne dit plus seulement « voici les failles », mais « voici les failles, et voici qu’elles sont corrigées » : c’est cette version qui fait une preuve présentable à un client, un assureur ou un auditeur. Pour le déroulé complet, voir qu’est-ce qu’un test d’intrusion et la prestation de test d’intrusion.

Vous voulez voir à quoi ressemble un rapport sur votre périmètre ? Décrivez-moi votre besoin et je vous explique ce que vous recevrez concrètement.