Ce qu'il faut vraiment tester
La Colombie détecte près de 1,3 million de tentatives d'attaque par jour. Un scanner est le minimum ; la validation manuelle transforme un PDF en décisions.
La question n'est pas de savoir si votre plateforme est sûre, mais ce qui vous échappe. Cet article définit ce qu'il faut vraiment tester (web, API, validation manuelle et retest) et comment l'offre de lancement de Slash aligne le prix sur le résultat.
1,3 million de tentatives par jour
Colombie, 2025 : 471,5 millions de tentatives d'attaque détectées.
La Colombie détecte près de 1,3 million de tentatives d'attaque par jour, 471,5 millions sur l'année (source : CRC et FortiGuard Labs). Une tentative n'est pas une attaque réussie, mais chaque faille exploitable est une porte que quelqu'un peut trouver avant vous.
Le contexte régional confirme la pression : selon Check Point Research, au premier semestre 2025, les organisations d'Amérique latine ont subi en moyenne 2 716 attaques par semaine, 39 % de plus que la moyenne mondiale, et la Colombie figurait parmi les cinq pays les plus visés de la région. Kaspersky désigne quant à lui l'Amérique latine comme la région la plus touchée par les rançongiciels en 2025.
Ce qu'il faut vraiment tester
Applications web et API, dans cet ordre.
Un test honnête couvre votre surface réelle : les applications web en production et les API qui les portent. C'est aujourd'hui côté API que s'ouvrent les portes les plus coûteuses : authentification, autorisation, validation des entrées et exposition de données. C'est le périmètre de notre test d'intrusion web et API.
Chaque vulnérabilité est validée à la main et doit être reproductible ; la sévérité combine le CVSS et le contexte métier. Ce qui ne se reproduit pas n'est pas rapporté.
- Applications web : authentification, sessions et logique métier.
- API : autorisation, IDOR, exposition excessive de données et erreurs de configuration.
- Configuration : en-têtes, TLS, secrets et surface exposée.
- Validation manuelle de chaque vulnérabilité pertinente, pas seulement le scanner.
Un prix aligné sur le résultat
COP 0 si aucune vulnérabilité élevée ou critique n'est confirmée.
Notre offre de lancement aligne le prix sur le résultat : COP 0 si aucune vulnérabilité élevée ou critique n'est confirmée dans le périmètre ; COP 5 M pour une vulnérabilité élevée ; plafond de COP 9 M, quel que soit le nombre trouvé. L'évaluation est toujours menée jusqu'au bout, avec un rapport exécutif et technique, et un retest inclus dans les missions payées.
Et le facteur humain
Phishing et ingénierie sociale contrôlés, à partir de COP 5 M.
La technique expose ; l'humain ouvre. Nous menons des tests contrôlés de phishing et d'ingénierie sociale à partir de COP 5 millions, avec un rapport et une formation pour votre équipe. Avec le clonage de voix et les deepfakes, cette couche pèse de plus en plus : voir notre protocole contre la fraude au deepfake.
L'essentiel
- Testez le web et les API en production, pas la démo.
- Validez chaque vulnérabilité à la main ; le scanner est le minimum.
- La sévérité combine CVSS et contexte métier.
- Le retest vérifie les correctifs et il est inclus dans les missions payées.
- Sans vulnérabilité élevée, la mission ne coûte rien (COP 0).
Sources
Note éditoriale : cette analyse reflète les informations publiques disponibles à la date de révision. Modèles, prix et règles évoluent vite ; chaque donnée tierce renvoie à sa source et nos opinions sont présentées comme telles. Une erreur ? Écrivez à contact@slash-digital.io.
Les questions qu'on nous pose souvent
COP 0 sans vulnérabilité, c'est vrai ?
Oui : sans vulnérabilité élevée ou critique confirmée dans le périmètre, la mission est gratuite et vous gardez le rapport complet.
D'où vient la statistique ?
De la CRC et de FortiGuard Labs (analyse prospective de cybersécurité 2026). Une tentative n'est pas une attaque réussie.
Testez-vous le mobile ?
L'offre couvre les applications web et les API ; les autres périmètres sont chiffrés à part.
Qui corrige les vulnérabilités ?
Celui que vous choisissez : votre équipe, un autre prestataire ou Slash. Le retest reste valable.
Signez-vous un accord de confidentialité ?
Oui : le périmètre et la confidentialité sont signés avant le début du test.
D'autres analyses à lire
Comment l'IA change le pentest
Ce que font les attaquants avec l'IA, ce que trouvent Mythos, Big Sleep ou XBOW, pourquoi la validation devient rare et comment adapter votre pentest.
CybersécuritéInjection de prompt et sécurité des agents : le risque numéro un
Pourquoi l'injection de prompt reste non résolue, ce que montrent les incidents de 2025–2026 et quels contrôles fonctionnent vraiment pour les agents.
CybersécuritéFraude aux deepfakes : un protocole pour les entreprises
Du cas Arup aux chiffres du FBI : comment fonctionne la fraude aux voix clonées et aux deepfakes, et un protocole de vérification pour la finance, les RH et les assistants.
Mettons-le en production
Racontez-nous votre défi. Nous répondons sous 24 heures ouvrées avec une première lecture honnête : si nous pouvons aider, nous dirons comment ; sinon, nous dirons qui peut.
Je réponds en personne. Pas de formulaires interminables ni de réponses automatiques.