Node.js
L'asynchrone cache des failles que les scanners ratent.
Une prototype pollution qui remonte jusqu'à une RCE, un opérateur Mongo injecté dans un filtre, un child_process.exec sur une entrée, un JWT en alg: none : les failles Node tiennent au détail. Je lis le code et la chaîne de dépendances, pas seulement les réponses HTTP.
Ce que couvre l'audit Node.js.
Les classes de failles les plus fréquentes sur une application Node.js réelle, testées à la main sur votre code et vos endpoints. OWASP WSTG + API Top 10, en authentifié comme en non authentifié.
$where, filtres non typéschild_process.exec, arguments non échappésalg: none, secret faible, IDOR, contrôle d'accèsQuatre étapes. Prix et périmètre fixes.
De la prise de contact à l'attestation, votre audit Node.js suit une séquence claire — pas un tunnel. Vous savez toujours où vous en êtes, ce qui a été trouvé et ce qu'il reste. Prix fixe défini au cadrage.
Cadrage
Un court appel, un prix fixe, des règles d'engagement écrites. Le runtime et le périmètre sont notés ici.
~ 1 appelTest
Test manuel sur les cibles convenues, canal ouvert en direct. Le critique est signalé le jour où je le trouve.
5–10 joursRapport
Chaque faille : criticité, reproduction, impact réel, correctif concret. Plus une synthèse pour vos clients.
2–3 joursContre-test
Vous corrigez, je vérifie et délivre une attestation propre. Inclus, pas une prestation à part.
gratuit · 30 jQuand ce test devient urgent.
Un pentest n'attend pas l'incident. Voici les déclencheurs les plus fréquents chez les équipes Node qui me contactent.
- Un client grand compte exige une preuve de test avant de signer
- Une revue SOC 2 / ISO 27001 réclame un pentest annuel
- Une levée de fonds et sa due diligence technique approchent
- Une montée de version Node ou une refonte d'API change la surface
- Une dépendance npm critique compromise ou un audit de chaîne d'approvisionnement
- Un doute sur un JWT, une injection NoSQL ou une prototype pollution
Ce qu'on me demande avant de signer.
Les vraies questions d'un premier appel de cadrage sur une application Node. Si la vôtre manque, elle a sa réponse en un e-mail.
Express, NestJS ou Fastify ?
Les trois, plus Koa et les apps temps réel (WebSocket / Socket.io). Le périmètre s'adapte à votre runtime.
Analysez-vous les dépendances npm ?
Oui. La chaîne d'approvisionnement et les paquets vulnérables font partie de la surface d'attaque.
Avez-vous besoin du code ?
La boîte grise aide sur la prototype pollution et les injections, mais le test boîte noire reste possible.
TypeScript change quelque chose ?
Le typage réduit certains bugs, pas les failles de logique, d'auth ou d'injection. Le test reste tout aussi pertinent.
Comment fixez-vous le prix ?
Forfait fixe défini au cadrage, à partir du périmètre. Pas de facturation à l'heure, pas de dépassement surprise. Vous validez le prix avant que je commence.
Que se passe-t-il une fois les correctifs faits ?
Contre-test inclus, gratuit, sous 30 jours. Je revérifie chaque faille corrigée et délivre une attestation à jour, prête pour vos clients.
Qui mène votre test.
Les certifications ne trouvent pas les failles. L'attention méthodique, si. C'est ce que vous payez vraiment.
Saïd Mimouni
Pentest & audit de sécurité · applications web & API
Je teste des applications web et des API à la main, aujourd'hui en solo pour des startups et des agences. Vous parlez à la personne qui ouvre le terminal, du premier e-mail au contre-test.
Je suis aussi le fondateur d'auditdude.com, un audit de code en boîte blanche : même regard sécurité, côté source. Ici, c'est du test manuel en boîte noire, mené par moi.
Une app Node.js à mettre à l'épreuve ?
Dites-moi le runtime, le périmètre et à peu près quand vous en avez besoin. Vous recevrez un périmètre et un prix fixe en retour, souvent le jour même.