Recherche offensive, décortiquée.

71 articles

Sécurisation WordPress : durcir un site que tout le monde attaque

Une install WordPress par défaut livre sa version et le login de son admin à qui demande. On énumère un site de test en réel, on liste 5 CVE de plugins 2025, puis on durcit et on mesure l'écart.

MMaxime J

5 octobre 2026

Appsec·10 min

Score CVSS : comprendre le calcul, le vecteur et ses limites

Le score CVSS compresse huit décisions en un nombre. On décortique le vecteur v3.1 métrique par métrique, la formule, un calculateur interactif et trois CVE réelles, puis ses limites.

MMaxime J

3 octobre 2026

Appsec·12 min

Audit de sécurité informatique : grille, exemple de rapport et prix

Audit de sécurité informatique : ce que chaque type d'audit prouve vraiment, une grille de contrôles concrète, un extrait de rapport anonymisé et les prix affichés. Le volet technique, sans jargon.

MMaxime J

1 octobre 2026

Appsec·8 min

EASM européen, sous droit UE : ce que la souveraineté change vraiment

Un EASM produit la carte la plus sensible de votre SI. Pourquoi "datacenter en Europe" ne dit rien de la juridiction, et ce que "souverain" garantit vraiment face au CLOUD Act.

MMaxime J

29 septembre 2026

Appsec·19 min

Shodan : comprendre ce qu'il indexe et auditer sa propre exposition

Shodan n'indexe pas des pages web mais des bannières de services. Ce que ça change, comment lire la fraîcheur d'un résultat, quels filtres servent vraiment à auditer son propre périmètre, et où s'arrête le moteur.

MMaxime J

27 septembre 2026

Appsec·14 min

Checkmarx : prix, réalité du SAST d'entreprise et alternatives

Checkmarx prix, périmètre de Checkmarx One et alternatives : ce que dit vraiment la licence, le coût de tuning que personne ne budgète, et quoi regarder selon le besoin.

MMaxime J

25 septembre 2026

Appsec·18 min

Conformité réglementaire en cybersécurité : quel texte s'applique à vous

Conformité réglementaire en cybersécurité : RGPD, NIS2, DORA, CRA, HDS, LPM. Qui est concerné, ce qui est exigé, qui contrôle, et ce que ces textes ont en commun.

MMaxime J

23 septembre 2026

Appsec·12 min

Plan de reprise d'activité : le PRA à l'épreuve du rançongiciel

Plan de reprise d'activité, PCA, RTO, RPO : pourquoi un PRA écrit pour l'incendie ne tient pas face à un rançongiciel, et ce qu'il faut y changer.

MMaxime J

21 septembre 2026

Appsec·11 min

Usurpation d'identité d'entreprise : marque, domaine, dirigeant, et ce qu'on a mesuré chez nous

Clone de site, domaine voisin, courriel forgé, faux dirigeant : les quatre formes d'usurpation d'identité d'entreprise, la posture anti-usurpation réelle de own2pwn.fr et ses trous, et l'ordre des recours.

MMaxime J

19 septembre 2026

Appsec·17 min

Prompt injection : ce n'est pas un jailbreak, et ça ne se corrige pas

Le jailbreak vise l'alignement du modèle, la prompt injection vise l'application. Structurelle par nature, l'injection indirecte détourne un agent via une page ou un PDF. Les défenses qui tiennent.

MMaxime J

17 septembre 2026

Appsec·15 min

Patch management : arbitrer, parce qu'on ne patchera jamais tout à temps

Le patch management ne bute pas sur le geste technique mais sur l'arbitrage : fenêtre d'exposition réelle, actifs non patchables, correctifs qui cassent la production.

MMaxime J

15 septembre 2026

Appsec·14 min

Ingénierie sociale : définition, techniques, limites de la sensibilisation

L'ingénierie sociale ne vise pas les gens crédules : elle vise des procédures qui prévoient un contournement pour l'urgence. Leviers, canaux au-delà du mail, et ce qui coupe la chaîne.

MMaxime J

13 septembre 2026

Veille sécurité

Ce qui bouge vraiment sur la surface d'attaque externe, NIS2 et la sécurité applicative, écrit par le pentester qui signe ces articles. Un envoi par mois, désinscription en un clic.

Votre adresse ne sert qu'à cet envoi. Voir la politique de confidentialité.

Sécurisation WordPress : durcir un site que tout le monde attaque

Score CVSS : comprendre le calcul, le vecteur et ses limites

Audit de sécurité informatique : grille, exemple de rapport et prix

EASM européen, sous droit UE : ce que la souveraineté change vraiment

Shodan : comprendre ce qu'il indexe et auditer sa propre exposition

Checkmarx : prix, réalité du SAST d'entreprise et alternatives

Conformité réglementaire en cybersécurité : quel texte s'applique à vous

Plan de reprise d'activité : le PRA à l'épreuve du rançongiciel

Usurpation d'identité d'entreprise : marque, domaine, dirigeant, et ce qu'on a mesuré chez nous

Prompt injection : ce n'est pas un jailbreak, et ça ne se corrige pas

Patch management : arbitrer, parce qu'on ne patchera jamais tout à temps

Ingénierie sociale : définition, techniques, limites de la sensibilisation

Snyk : prix, unité de facturation et alternatives (guide d'achat)

SecNumCloud : ce que la qualification ANSSI garantit vraiment

Shadow AI : l'IA non autorisée en entreprise, et comment l'inventorier

Questionnaire sécurité fournisseur et TPRM : ce que le déclaratif ne prouvera jamais

Credential stuffing : la mécanique réelle et les défenses qui tiennent

Outils OSINT : quel outil pour quelle brique de la collecte

EBIOS RM : les 5 ateliers de la méthode ANSSI, et leurs limites

Attaques par injection SQL : anatomie, familles et défenses qui tiennent

Scanner de vulnérabilité : quel outil pour quel besoin

Cyberattaque hôpital : pourquoi la santé reste une cible facile, et par où ça entre

Arnaque au président : comment l'attaquant prépare le coup, et ce qui l'arrête

Fuite de données : par où elle arrive, comment la détecter, quoi faire en 72 heures

Bug bounty : définition, plateformes, et quand il a du sens

SonarQube : prix, limites et alternatives pour l'analyse de code

Threat modeling : anticiper les attaques avant d'écrire une ligne de code

Fuites de secrets : clés d'API, tokens et credentials exposés

Attaques supply chain : comprendre, détecter et s'en protéger

API security : pourquoi vos API sont la cible n°1, et comment les tester

Pentest black box, grey box, white box : quelle boîte pour quel objectif

SBOM (Software Bill of Materials) : l'inventaire qui manque à votre supply chain

Cyber Resilience Act (CRA) : obligations, calendrier, sanctions

DAST (Dynamic Application Security Testing) : tester une appli en cours d'exécution

Alternative française à Detectify : avis, prix et comparatif honnête

Loi LOPMI : ce qui change pour la cybersécurité, et la règle des 72 heures

TLPT DORA : le test d'intrusion fondé sur la menace, tous les trois ans

wp2shell (CVE-2026-63030) : la RCE pré-auth qui touche le cœur de WordPress

Cyberscore : la loi, ce qu'elle impose, et ce que ça change vraiment

Typosquatting : définition, détection et recours, mesurés sur notre propre domaine

Red team vs pentest : différences, coûts, et lequel choisir

Plan de remédiation : structurer la correction après un audit ou un pentest

Directive NIS2 : qui est concerné, obligations, sanctions et calendrier France

Surveillance du dark web : comment ça marche, et pour qui c'est utile

PASSI ANSSI : la qualification des prestataires d'audit, expliquée

Audit NIS2 : déroulé, livrables, prix, et pourquoi le papier ne suffit pas

Alternative française à Intruder : avis, prix vérifiés et comparatif

Règlement DORA : qui est concerné, ce qu'il exige, comment s'y préparer

Prix d'un EASM : combien coûte une plateforme de gestion de surface d'attaque ?

Vibe coding et sécurité : j'ai cassé une app générée par IA sans exploit

Comparatif EASM : comment choisir la meilleure plateforme

EASM : qu'est-ce que la gestion de surface d'attaque externe ?

Subdomain takeover : comment un sous-domaine oublié devient une porte d'entrée

Mot de passe compromis : comment le savoir, et quoi faire dans l'ordre

Découverte d'actifs : ce que les sources passives trouvent vraiment

Have I Been Pwned : notre avis, et comment il vérifie vos mots de passe sans les voir

Pentest en entreprise : pourquoi, quand et quel type commander

Certificate Transparency : débusquer le shadow IT par les certificats partagés

Dataset pour un agent IA offensif : distillation, QLoRA, DPO et coûts

Ransomware (rançongiciel) : anatomie d'une attaque et comment protéger sa PME

Phishing (hameçonnage) : définition, exemples de mails piégés et protection

Construire son serveur OOB pour le pentest (from scratch, en Rust)

Gestion des vulnérabilités (vulnerability management) : le guide

SAST vs DAST vs IAST : comparatif, et ce que l'IA change

Combien coûte un test d'intrusion web ? Prix et facteurs en 2026

Pentest automatisé : ce que 4 outils trouvent vraiment sur Juice Shop (notre banc)

Shadow IT : trouver les actifs exposés que personne ne gère

NIS2 et PME : êtes-vous concerné, et par où commencer ?

DevSecOps : intégrer SAST et DAST dans sa CI/CD (GitHub, GitLab)

OWASP Top 10 2025 : les 10 risques de sécurité web à connaître

Comment se déroule un test d'intrusion web ? Les étapes d'un pentest

Ne pas rater le prochain article

Sécurisation WordPress : durcir un site que tout le monde attaque

Score CVSS : comprendre le calcul, le vecteur et ses limites

Audit de sécurité informatique : grille, exemple de rapport et prix

EASM européen, sous droit UE : ce que la souveraineté change vraiment

Shodan : comprendre ce qu'il indexe et auditer sa propre exposition

Checkmarx : prix, réalité du SAST d'entreprise et alternatives

Conformité réglementaire en cybersécurité : quel texte s'applique à vous

Plan de reprise d'activité : le PRA à l'épreuve du rançongiciel