Personne ne commande un test d'intrusion par curiosité.
En général, il y a un déclencheur. Un client grand compte qui exige un rapport d'audit avant de signer, une certification ISO 27001 en ligne de mire, une mise en conformité NIS 2 qui approche, ou tout simplement un incident, parfois évité de justesse, qui a fait prendre conscience à la direction que le système d'information tenait un peu par habitude. Dans tous ces cas, la question est la même : à qui confier l'exercice ?
Cette catégorie de l'annuaire rassemble des agences et des consultants indépendants spécialisés en pentest et en audit de sécurité informatique à Rennes et dans son agglomération. Des structures de tailles très différentes, et c'est voulu : une PME de Cesson-Sévigné n'a pas les mêmes besoins qu'un éditeur SaaS installé près de la gare ou qu'une collectivité bretonne.
Ce n'est pas un hasard si on trouve autant de compétences offensives autour de Rennes. La présence de la DGA Maîtrise de l'information à Bruz, le Pôle d'excellence cyber, les formations spécialisées des écoles et universités locales, sans oublier l'European Cyber Week qui se tient chaque année dans la ville : tout cela a fini par créer un vivier de profils pointus.
Pour vous, ça a une conséquence très concrète. Vous n'êtes pas obligé de faire venir une équipe parisienne pour obtenir un audit sérieux. Des pentesters expérimentés travaillent à vingt minutes de vos locaux, connaissent le tissu économique breton et peuvent se déplacer facilement quand un test nécessite une présence physique (réseau interne, Wi-Fi, ingénierie sociale sur site).
Revers de la médaille, soyons honnêtes : l'offre est abondante, et toutes les prestations ne se valent pas. D'où l'intérêt de savoir ce qu'on achète.
Le mot « pentest » est utilisé à toutes les sauces. On voit passer des scans de vulnérabilités automatisés vendus comme des tests d'intrusion, avec un rapport de 80 pages généré par un outil et très peu d'analyse humaine derrière. Ce n'est pas la même chose.
Un vrai test d'intrusion, c'est un auditeur qui se met dans la peau d'un attaquant, exploite les failles qu'il découvre, les enchaîne entre elles et mesure jusqu'où il peut aller. L'automatisation sert à dégrossir. Le reste, c'est de l'expertise, de l'intuition et beaucoup de méthode.
À noter aussi la distinction boîte noire, grise ou blanche, selon le niveau d'information fourni à l'auditeur au départ. La boîte grise est souvent le meilleur compromis entre réalisme et efficacité du temps facturé.
Un prix au jour ne dit pas grand-chose. Un auditeur junior à tarif bas peut coûter plus cher, au final, qu'un profil senior qui trouvera en deux jours ce que l'autre ne verra jamais.
Voici les points que nous conseillons de vérifier avant de signer.
La qualification PASSI délivrée par l'ANSSI garantit un niveau d'exigence élevé, sur les compétences comme sur la méthode et la confidentialité. Pour un opérateur d'importance vitale, une administration ou certaines entités concernées par NIS 2, elle peut être exigée. Pour une PME qui veut simplement faire un premier état des lieux, un prestataire non qualifié mais reconnu fera parfaitement l'affaire. Il faut juste savoir ce que votre contexte réglementaire demande.
Demandez un exemple de rapport anonymisé. Vraiment. C'est le livrable que vous garderez, que vous transmettrez à vos clients ou à votre assureur, et sur lequel vos équipes techniques vont travailler.
Un bon rapport contient une synthèse compréhensible par un dirigeant, des vulnérabilités classées par criticité réelle (pas seulement un score CVSS brut), des preuves d'exploitation et, surtout, des recommandations de correction applicables. Si la synthèse est illisible pour un non-technicien, passez votre chemin.
La réponse agaçante, mais exacte : ça dépend du périmètre.
Pour donner un ordre d'idée, un test d'intrusion externe sur une surface limitée peut se boucler en quelques jours. L'audit complet d'une application métier riche, ou un pentest interne sur un Active Directory de plusieurs centaines de postes, demande nettement plus. La plupart des agences rennaises raisonnent en jours-homme, et proposent un chiffrage après un court échange de cadrage. Méfiez-vous des forfaits fixes proposés sans aucune question sur votre système d'information : c'est rarement bon signe.
Un conseil de terrain, pour finir sur ce point. Mieux vaut un audit ciblé sur ce qui compte vraiment (votre application client, votre accès distant) qu'un audit superficiel de tout, réalisé au pas de course pour tenir le budget.
Un test d'intrusion donne une photographie à un instant T. Trois mois plus tard, une mise en production, un nouveau prestataire ou un serveur remonté à la va-vite peuvent tout changer.
C'est pour ça que beaucoup d'entreprises bretonnes passent progressivement à un rythme annuel, complété par des tests à chaque évolution majeure. Certaines agences de la liste proposent aussi des programmes de bug bounty accompagnés, de la surveillance de surface d'attaque ou de l'accompagnement RSSI à temps partagé. Selon votre maturité, ça peut valoir le coup d'en discuter dès le premier rendez-vous.
Parcourez les fiches ci-dessous : spécialités, certifications, types d'audits réalisés, zones d'intervention autour de Rennes. Prenez le temps d'en contacter deux ou trois, de comparer leur façon de cadrer votre besoin.
Vous verrez vite la différence entre celui qui vous vend des jours et celui qui cherche d'abord à comprendre ce que vous voulez protéger.
Les fiches de cet annuaire proviennent de sources publiques, principalement Google Maps. Vous dirigez une entreprise présente sur cette page et préférez ne pas y apparaître ? Dites-le-nous par le formulaire de contact et la fiche est retirée sous huit jours, sans justification à fournir.