Recherche offensive,
décortiquée.

64 articles

Snyk : prix, unité de facturation et alternatives (guide d'achat)

Snyk prix, plans publiés et pièges de facturation : le développeur contributeur, les tests mensuels plafonnés, le bruit transitif, et les alternatives par cas d'usage.

Oown2pwn

11 septembre 2026

Appsec·14 min

SecNumCloud : ce que la qualification ANSSI garantit vraiment

SecNumCloud, référentiel ANSSI en version 3.2 : les critères d'immunité au droit extra-européen, la liste réelle des prestataires qualifiés, et la limite que les acheteurs comprennent mal.

Oown2pwn

9 septembre 2026

Appsec·11 min

Shadow AI : l'IA non autorisée en entreprise, et comment l'inventorier

Le shadow AI, c'est le shadow IT dont la donnée sort à l'usage et non au stockage : prompts, extensions, connecteurs OAuth, clés d'API de LLM. Comment le recenser concrètement, et ce que l'AI Act change.

Oown2pwn

7 septembre 2026

Appsec·15 min

Questionnaire sécurité fournisseur et TPRM : ce que le déclaratif ne prouvera jamais

Questionnaire sécurité fournisseur et TPRM : ce que couvre un questionnaire type, ce que NIS2 impose sur la chaîne d'approvisionnement, la portée réelle des certifications, et les questions qui discriminent vraiment.

Oown2pwn

5 septembre 2026

Appsec·15 min

Credential stuffing : la mécanique réelle et les défenses qui tiennent

Le credential stuffing rejoue de vrais mots de passe volés ailleurs, un essai par compte, invisible au filtrage par IP. Le DBIR 2025 lui impute 19 % des tentatives d'authentification.

Oown2pwn

2 septembre 2026

Appsec·17 min

OSINT Framework : quel outil pour quelle brique de la collecte

OSINT Framework recense des centaines d'outils OSINT gratuits, rangés par type d'entrée plutôt que par objectif. Voici la même matière réorganisée brique par brique, outil par outil.

Oown2pwn

30 août 2026

Appsec·11 min

EBIOS RM : les 5 ateliers de la méthode ANSSI, et leurs limites

EBIOS RM, la méthode d'analyse de risque de l'ANSSI : les 5 ateliers et leurs livrables, sources de risque et objectifs visés, chemins d'attaque stratégiques et opérationnels, et les limites de l'exercice.

Oown2pwn

27 août 2026

Appsec·15 min

Attaques par injection SQL : anatomie, familles et défenses qui tiennent

Les attaques par injection SQL, contexte par contexte : chaîne, numérique, identifiant, ORDER BY. Les cinq familles, ce qu'une WAF change vraiment, et la parade qui tient, les requêtes préparées.

Oown2pwn

24 août 2026

Appsec·13 min

Scanner de vulnérabilité : quel outil pour quel besoin

Scanner de vulnérabilité : les cinq familles d'outils et ce qu'elles couvrent réellement, ce qu'un scan ne trouvera jamais, le coût du tri, et comment choisir selon ce que vous protégez.

Oown2pwn

21 août 2026

Appsec·20 min

Cyberattaque hôpital : pourquoi la santé reste une cible facile, et par où ça entre

Chaque cyberattaque d'hôpital documentée en France raconte la même histoire : un accès légitime, joignable depuis internet. Cas réels, contraintes du secteur, cadre NIS2 et HDS.

Oown2pwn

18 août 2026

Appsec·16 min

Arnaque au président : comment l'attaquant prépare le coup, et ce qui l'arrête

L'arnaque au président (FOVI) ne casse aucune serrure : elle exploite un organigramme public et un domaine ressemblant. Reconstitution de la chaîne d'attaque, et les trois contrôles qui la coupent.

Oown2pwn

17 août 2026

Appsec·14 min

Fuite de données : par où elle arrive, comment la détecter, quoi faire en 72 heures

6 167 violations notifiées à la CNIL en 2025, un incident sur deux malveillant. Fuite de données en entreprise : les cinq chemins qu'elle emprunte et la conduite à tenir dans les 72 heures.

Oown2pwn

16 août 2026

Veille sécurité

Ce qui bouge vraiment sur la surface d'attaque externe, NIS2 et la sécurité applicative, écrit par le pentester qui signe ces articles. Un envoi par mois, désinscription en un clic.

Votre adresse ne sert qu'à cet envoi. Voir la politique de confidentialité.

Snyk : prix, unité de facturation et alternatives (guide d'achat)

SecNumCloud : ce que la qualification ANSSI garantit vraiment

Shadow AI : l'IA non autorisée en entreprise, et comment l'inventorier

Questionnaire sécurité fournisseur et TPRM : ce que le déclaratif ne prouvera jamais

Credential stuffing : la mécanique réelle et les défenses qui tiennent

OSINT Framework : quel outil pour quelle brique de la collecte

EBIOS RM : les 5 ateliers de la méthode ANSSI, et leurs limites

Attaques par injection SQL : anatomie, familles et défenses qui tiennent

Scanner de vulnérabilité : quel outil pour quel besoin

Cyberattaque hôpital : pourquoi la santé reste une cible facile, et par où ça entre

Arnaque au président : comment l'attaquant prépare le coup, et ce qui l'arrête

Fuite de données : par où elle arrive, comment la détecter, quoi faire en 72 heures

Bug bounty : définition, plateformes, et quand il a du sens

SonarQube : prix, limites et alternatives pour l'analyse de code

OSINT : le renseignement en source ouverte au service de la sécurité offensive

Threat modeling : anticiper les attaques avant d'écrire une ligne de code

Fuites de secrets : clés d'API, tokens et credentials exposés

Attaques supply chain : comprendre, détecter et s'en protéger

API security : pourquoi vos API sont la cible n°1, et comment les tester

Pentest black box, grey box, white box : quelle boîte pour quel objectif

SBOM (Software Bill of Materials) : l'inventaire qui manque à votre supply chain

Cyber Resilience Act (CRA) : obligations, calendrier, sanctions

DAST (Dynamic Application Security Testing) : tester une appli en cours d'exécution

Alternative française à Detectify : avis, prix et comparatif honnête

Loi LOPMI : ce qui change pour la cybersécurité, et la règle des 72 heures

TLPT DORA : le test d'intrusion fondé sur la menace, tous les trois ans

wp2shell (CVE-2026-63030) : la RCE pré-auth qui touche le cœur de WordPress

Cyberscore : la loi, ce qu'elle impose, et ce que ça change vraiment

Typosquatting : définition, types, détection et recours (cybersquattage)

Red team vs pentest : différences, coûts, et lequel choisir

Plan de remédiation : structurer la correction après un audit ou un pentest

Directive NIS2 : qui est concerné, obligations, sanctions et calendrier France

Surveillance du dark web : comment ça marche, et pour qui c'est utile

PASSI ANSSI : la qualification des prestataires d'audit, expliquée

Audit NIS2 : déroulé, livrables, prix, et pourquoi le papier ne suffit pas

Alternative française à Intruder : avis, prix vérifiés et comparatif

Règlement DORA : qui est concerné, ce qu'il exige, comment s'y préparer

Prix d'un EASM : combien coûte une plateforme de gestion de surface d'attaque ?

Vibe coding et sécurité : j'ai cassé une app générée par IA sans exploit

Comparatif EASM : comment choisir la meilleure plateforme

EASM : qu'est-ce que la gestion de surface d'attaque externe ?

Audit de sécurité informatique pour une PME : périmètre, prix, par où commencer

Comment aller sur le dark web (et ce qu'on y trouve vraiment)

Subdomain takeover : comment un sous-domaine oublié devient une porte d'entrée

Mot de passe compromis : comment le savoir, et quoi faire dans l'ordre

Découverte d'actifs (asset discovery) : cartographier sa surface d'attaque externe

Have I Been Pwned : notre avis, et comment il vérifie vos mots de passe sans les voir

Pentest en entreprise : pourquoi, quand et quel type commander

Certificate Transparency : débusquer le shadow IT par les certificats partagés

Dataset pour un agent IA offensif : distillation, QLoRA, DPO et coûts

Ransomware (rançongiciel) : anatomie d'une attaque et comment protéger sa PME

Phishing (hameçonnage) : définition, exemples de mails piégés et protection

Construire son serveur OOB pour le pentest (from scratch, en Rust)

Gestion des vulnérabilités (vulnerability management) : le guide

NIS2 article 21 : pourquoi l'inventaire de ce que vous exposez est une obligation

Pentest, scan de vulnérabilité ou EASM : quelles différences ?

SAST vs DAST vs IAST : comparatif, et ce que l'IA change

Combien coûte un test d'intrusion web ? Prix et facteurs en 2026

Pentest automatisé vs pentest humain : ce que l'IA change (et ses limites)

Shadow IT : trouver les actifs exposés que personne ne gère

NIS2 et PME : êtes-vous concerné, et par où commencer ?

DevSecOps : intégrer SAST et DAST dans sa CI/CD (GitHub, GitLab)

OWASP Top 10 2025 : les 10 risques de sécurité web à connaître

Comment se déroule un test d'intrusion web ? Les étapes d'un pentest

Ne pas rater le prochain article

Snyk : prix, unité de facturation et alternatives (guide d'achat)

SecNumCloud : ce que la qualification ANSSI garantit vraiment

Shadow AI : l'IA non autorisée en entreprise, et comment l'inventorier

Questionnaire sécurité fournisseur et TPRM : ce que le déclaratif ne prouvera jamais

Credential stuffing : la mécanique réelle et les défenses qui tiennent

OSINT Framework : quel outil pour quelle brique de la collecte

EBIOS RM : les 5 ateliers de la méthode ANSSI, et leurs limites

Attaques par injection SQL : anatomie, familles et défenses qui tiennent

Scanner de vulnérabilité : quel outil pour quel besoin

Cyberattaque hôpital : pourquoi la santé reste une cible facile, et par où ça entre

Arnaque au président : comment l'attaquant prépare le coup, et ce qui l'arrête

Fuite de données : par où elle arrive, comment la détecter, quoi faire en 72 heures

Bug bounty : définition, plateformes, et quand il a du sens

SonarQube : prix, limites et alternatives pour l'analyse de code

OSINT : le renseignement en source ouverte au service de la sécurité offensive