Comprendre l’impact
Un accès privilégié peut permettre de modifier les droits ou la configuration. L’exposition et les contrôles complémentaires déterminent la priorité.
Toutes les ressources
Série · Un constat expliqué
De l’observation à une correction vérifiable.
Trois exemples fictifs pour comprendre la structure d’un constat : contexte, impact, action et validation. Ils ne représentent ni des clients ni des tests réalisés.
Constat 01 · Scénario fictif
Un accès privilégié sans second facteur
Dans une entreprise fictive, une console de démonstration accepte un compte administrateur avec le seul mot de passe. Aucun client ni test réel n’est représenté.
Définir l’action
Prévoir une authentification multifacteur adaptée, identifier les exceptions et organiser un accès de secours contrôlé.
Vérifier le résultat
Le parcours ordinaire sans second facteur doit être refusé. Le parcours autorisé et la procédure de secours doivent rester utilisables dans les conditions prévues.
Quels éléments joindre au constat ?
Configuration expurgée, date et version, résultats des essais autorisés, responsable et exceptions approuvées.
Dans une mission réelle, chaque pièce doit être autorisée, expurgée et transmise par le canal convenu.
Constat 02 · Scénario fictif
Un accès externe oublié à la fin d’une mission
Dans un scénario fictif, un compte invité conserve un droit sur un espace documentaire après la fin de la prestation.
Comprendre l’impact
Les documents restent accessibles à une personne dont le besoin d’accès n’est plus établi. Il faut vérifier les droits effectifs et la période concernée.
Définir l’action
Retirer l’autorisation devenue inutile, vérifier les autres accès du prestataire et rattacher chaque accès externe à un propriétaire et à une échéance.
Vérifier le résultat
L’ancien compte ne doit plus accéder à l’espace. Les équipes légitimes doivent conserver leurs droits. Vérifier séparément les éventuelles sessions et copies déjà autorisées.
Quels éléments joindre au constat ?
Liste des droits avant et après, test d’accès autorisé, décision du propriétaire et date de prochaine revue.
Dans une mission réelle, chaque pièce doit être autorisée, expurgée et transmise par le canal convenu.
Constat 03 · Scénario fictif
Un agent de support doté de droits trop larges
Dans ce scénario fictif, un assistant chargé de rédiger des réponses dispose aussi d’un outil qui permet de modifier les contrats clients.
Comprendre l’impact
Une erreur ou un contenu trompeur pourrait conduire à une action dépassant le besoin initial. L’accès effectif du service appelé compte plus que la consigne donnée au modèle.
Définir l’action
Retirer la capacité inutile. Si une modification devient nécessaire, prévoir une autorisation contrôlée et une validation portant sur l’action exacte.
Vérifier le résultat
Une tentative de modification hors périmètre doit être refusée par le service, même si l’agent la demande. Le parcours de rédaction autorisé doit toujours fonctionner.
Quels éléments joindre au constat ?
Contrat d’action, droits de l’identité technique, cas de test et traces expurgées des refus attendus.
Dans une mission réelle, chaque pièce doit être autorisée, expurgée et transmise par le canal convenu.
Utiliser cette structure pour vos propres constats.
Télécharger le modèle de constat
Lire le guide de suivi après pentest