prestations / 05b · ton projet tourne déjà
J'ouvre ton code, pas seulement ta façade
Un audit boîte noire trouve ce qui se voit, et c'est déjà l'essentiel des intrusions réelles. Mais une faille de logique métier ne se voit pas du dehors : une permission vérifiée côté navigateur seulement, un identifiant qu'on peut incrémenter, une notification de paiement qui croit son appelant sur parole. Ces défauts-là se lisent dans le code, ou ne se découvrent pas.
dès 5 000 €Prix TTC, TVA non applicable · chiffré après cadrage
$ ls ./livrables
Ce que tu reçois
La revue du code qui décideQui a le droit de quoi, et à quel endroit c'est vérifié. Les contrôles côté navigateur ne comptent pas : je regarde ce que fait le serveur quand on lui ment.
Le parcours de paiement, de bout en boutCe qui se passe si la notification de paiement arrive deux fois, jamais, ou forgée. C'est là que des montants et des livraisons se perdent sans que personne ne le voie.
Le traitement des données personnelles, à la sourceCe qui est collecté, où c'est stocké, qui peut le lire, combien de temps ça reste. Tes obligations RGPD instruites sur ton code réel, pas sur les réponses à un questionnaire.
L'infrastructure vue de l'intérieurComptes, droits, secrets, sauvegardes, journalisation. Avec les accès, on voit ce qu'un attaquant verrait juste après sa première réussite.
Une matrice de risque et un plan datéLa même sortie que les autres paliers : chaque risque situé sur MITRE ATT&CK, ordonné par ce qu'il coûte, avec ce qu'on fait et quand.
$ ./pour-qui
Tu es au bon endroit si…
Ton produit manipule de l'argent ou des données sensiblesPaiement, santé, ressources humaines, données de tes propres clients. Le préjudice d'une fuite ne se mesure pas en désagrément.
Ton code n'a jamais été reluÉcrit vite, par toi ou avec une IA, et jamais repassé au crible. Ça marche, donc on est passé à la suite.
Une exigence de conformité t'attendUn client grand compte, un financeur ou un assureur qui demande une preuve d'audit. Il faut alors autre chose qu'un scan automatique.
$ cat engagements.txt
Ce sur quoi je m'engage
Ces engagements valent pour toutes mes prestations, et ils ne sont pas là pour faire joli : le devis et le contrat les reprennent.
Confidentialité, par défautCe que je vois de ton système ne sort pas d'ici : ni exemple en conférence, ni cas client sur le site, ni capture dans un article. Aucune référence publiée sans ton accord écrit, et un engagement de confidentialité signé si tu le souhaites, avant même le devis.
Tes accès, sous contrôleChaque accès que tu m'ouvres est nominatif, limité au strict nécessaire et à la durée de la mission. J'en tiens l'inventaire, et je te confirme par écrit leur fermeture à la clôture.
Tu restes propriétaireServeurs, noms de domaine, comptes et documentation sont à ton nom du premier au dernier jour. Rien n'est hébergé chez moi, rien ne dépend de moi pour continuer à tourner.
Un prix ferme, des jalons validésLe devis fixe le périmètre, les livrables et le prix. Si le périmètre bouge, on le réécrit ensemble avant de continuer. Chaque jalon se valide avant d'attaquer le suivant.
Aucun jargon imposéTout ce que je te remets est écrit pour être compris par toi, pas seulement par un technicien. Une recommandation que tu ne comprends pas ne sera jamais appliquée : elle ne sert donc à rien.
Je te dis quand ce n'est pas pour moiSi ton besoin sort de mon domaine ou que le budget ne permet pas de faire les choses correctement, je te le dis pendant l'échange gratuit, et je t'oriente. Vendre une mission qui ne servira pas ne m'intéresse pas.
$ ./deroule
Comment ça se passe
5 h 30 de visio sont comprises dans le prix, réparties comme ci-dessous. Le reste est du travail que je mène sans toi, dont la charge est indiquée pour que tu saches où part ce que tu paies.
- 01Cadrage du périmètreLe déroulé, le numéro de secours, puis ce qui entre dans l'audit, ce qui en sort et en combien de lots. Le chiffrage se fixe ici, et il ne bouge plus.
- 02Ouverture des accèsDépôt en lecture, environnement de recette, administration de l'infrastructure. Nominatifs, limités à la mission, inventoriés, et fermés par écrit à la clôture.
- 03Revue du code qui décideAuthentification, permissions, et ce que fait le serveur quand on lui ment. Les contrôles posés côté navigateur seulement ressortent ici.
- 04Paiement et données personnellesLe parcours de paiement de bout en bout, y compris ses cas tordus, et le traitement des données personnelles lu dans le code plutôt que déclaré dans un questionnaire.
- 05Infrastructure vue de l'intérieurComptes, droits, secrets, sauvegardes et journalisation. Ce que verrait un attaquant juste après sa première réussite.
- 06Point de lot et vérificationJe remets les constats du lot, tu corriges ou je corrige, puis je vérifie avant d'ouvrir le suivant. Ce point se répète à chaque itération arrêtée au cadrage.
- 07RestitutionMatrice de risque complète situant chaque constat sur MITRE ATT&CK, plan d'action daté, et ce qui reste à surveiller une fois le chantier fermé.
Ce qui ferme la prestation : Le dernier lot vérifié, la restitution faite et les accès fermés par écrit.
// hors périmètreCe que cette prestation ne couvre pas, dit avant le devis plutôt qu'après la facture :
- Le développement des correctifs, sauf si tu le commandes en plus
- Le test d'intrusion outillé sur ton hébergeur sans son autorisation
- L'audit du code de tes fournisseurs, dont je n'ai pas les sources
- La certification : je produis des constats, pas un label
$ ./devis
Quelques questions, et je chiffre
Ces questions me servent à chiffrer sans te faire perdre un aller-retour. Aucune n'est un piège commercial : si ce n'est pas pour moi, je te le dirai.
Tu préfères en parler d'abord ? Réserve 20 minutes, gratuitement et sans engagement. Ce que tu me dis reste entre nous, que la suite se fasse ou non.
Ce qui encadre la mission
- Conditions générales de vente Prix, commande, exécution, rétractation, garanties. Version en vigueur au jour de la commande.
- Contrat de mission et conditions particulières Périmètre, livrables, barème d'avancement et propriété du code produit. Remis avant le démarrage, signé par les deux parties.
- Accord de sous-traitance (RGPD, art. 28) Cette prestation suppose un accès à tes systèmes : l'accord est signé avant que le moindre accès soit ouvert.
- Politique de confidentialité Ce qui est collecté te concernant, pourquoi, combien de temps, et comment exercer tes droits.
$ ./questions
Ce qu'on me demande souvent
Pourquoi sur devis, alors que les autres paliers ont un prix ?Parce que la charge dépend de ce qu'il y a à lire. Dix mille lignes et deux cent mille ne se relisent pas dans le même temps. La fourchette va de 5 000 à 10 000 €, et le devis tombe après le cadrage, ferme.
Tu as vraiment besoin de mon code ?Oui, en lecture seule. Sans lui, une permission vérifiée au mauvais endroit reste invisible : c'est exactement ce que le palier boîte noire ne peut pas trouver.
Et si tu trouves quelque chose de grave en cours de route ?Je te préviens tout de suite, sans attendre la fin du lot, et on traite avant de continuer. Une faille exploitable n'attend pas la restitution.
Mon code n'est pas beau. C'est un problème ?Non. Je cherche ce qui expose, pas ce qui est élégant. La dette technique n'est un sujet que là où elle crée un risque.
Est-ce que ça remplace le palier Solo ou Équipe ?Ça les contient. Le palier boîte blanche reprend tout le périmètre du palier Équipe et y ajoute le code et l'infrastructure vue de l'intérieur.
$ ls ../
Les autres étapes de ton projet
01 · rien n'est encore écritJe définis ce que ton projet doit garantir600 €02 · avant la première ligne de codeArchitecte logiciel et sécurité de ton projet1 000 €03 · tu veux que l'IA s'en chargePack agentique : développement et infrastructure sécurisés490 €04 · pendant que ça se construitUn expert senior dans ton équipe800 € / jour05 · ton projet tourne déjàAudit de ton projet existantÀ partir de 1 500 €06 · en production, dans la duréeJe maintiens ton service sécurisé et conforme dans le tempsAbonnement mensuel