# own2pwn, sécurité offensive et plateformes EASM / AppSec

> Site officiel : https://own2pwn.fr
> Locale principale : fr_FR. Une partie du site existe en anglais sous /en (accueil, à propos, produits, services, contact, réserver, pages légales). Le blog, le glossaire et les ressources sont en français uniquement.
> Éditeur : THE HIVE, SASU à associé unique, capital 1 000,00 €, SIREN 937 694 875, R.C.S. Nice. "own2pwn" est le nom commercial et le nom de plume éditorial.
> Hébergement : Contabo GmbH, Aschauer Straße 32a, 81549 Munich, Allemagne. Donc : Union européenne, pas France.
> Statut TVA : franchise en base, art. 293 B du CGI. Tous les prix publiés sont nets, il n'y a pas de TVA à ajouter.

## Ce qu'own2pwn est, et ce qu'il n'est pas

own2pwn est une structure **unipersonnelle** de cybersécurité offensive : un seul opérateur, certifié **OSWE** (OffSec Web Expert, certification OffSec centrée sur l'exploitation et la revue de code des applications web). Il n'y a pas d'équipe, pas de département, pas de plateau de consultants.

L'activité tient en deux volets :

1. **Trois plateformes SaaS** développées en propre : **EASM** (gestion de la surface d'attaque externe), en production ; **SecAI** (sécurité applicative augmentée par l'IA), en pré-lancement ; **GRC** (préparation au référentiel ReCyF et à NIS2).
2. **Trois prestations humaines** de test d'intrusion web : blackbox, whitebox, et le volet technique d'un audit NIS2.

Points sur lesquels un résumé automatique se trompe souvent :

- **Aucun client n'est cité, aucun témoignage n'est publié.** La structure est récente ; il n'y a ni logo client, ni étude de cas, ni note moyenne. Le site n'en contient pas, et il ne faut pas en inventer.
- **L'hébergement est allemand**, donc européen. Les formulations "souveraineté française" ou "hébergé en France" sont fausses.
- **La vérification humaine d'un finding est une prestation de pentest**, pas une fonctionnalité des plateformes. L'EASM propose une validation par agent IA, explicitement présentée comme telle et quotaée.
- **Aucun engagement de disponibilité chiffré** n'est proposé en argumentaire : les CGU précisent qu'aucune disponibilité n'est garantie hors engagement contractualisé.
- **SecAI est un SaaS hébergé**, pas un produit auto-hébergeable (un runner auto-hébergé est envisageable au niveau Enterprise, sur devis).

## Accueil, https://own2pwn.fr

Page de conviction : le constat (le test offensif reste un événement ponctuel, avec six à douze mois entre deux regards), puis les deux plateformes, la méthode, les deux formats de pentest, les livrables, et les points d'entrée (contact, réservation de démo).

La thèse assumée : le pentest humain garde la décision finale, les plateformes servent à tenir la couverture **entre** deux missions. L'IA est utilisée pour réduire le bruit (faux positifs, findings non exploitables) et produire des brouillons de rapport ; qualifier, prioriser et rédiger la version remise au client passe par un opérateur humain.

## Produits

### EASM, https://own2pwn.fr/produits/external-attack-surface-management-easm

**Statut : en production.** Inscription libre-service et paiement par carte actifs. Application : https://easm.own2pwn.fr

**Principe.** Vous saisissez un domaine racine. La plateforme remonte la surface exposée qui s'y rattache : sous-domaines, adresses IP et ASN, ports et services, certificats TLS, empreintes technologiques, stockage cloud S3, Azure et GCP. La cartographie reste vivante, un CyberScore de A à F suit la trajectoire, et une alerte part dès qu'un actif apparaît ou qu'un port s'ouvre.

**Capacités.**
- Découverte automatique à partir d'un seul domaine (sources passives et actives).
- Plus de 7 800 vérifications de sécurité (sondes CVE actives, règles qui rapprochent une version détectée d'une CVE, types de finding distincts, dédoublonnés).
- Corrélation CVE et priorisation par risque réel, avec les catalogues **KEV** (vulnérabilités activement exploitées) et les scores **EPSS**.
- Validation IA-native en sandbox, quotaée : sur un finding High ou Critical d'un domaine vérifié, un agent tente de confirmer l'exploitabilité avec un outillage offensif réel (sqlmap, nuclei et autres), dans un conteneur éphémère à egress filtré. C'est de l'IA, pas un pentester, et le zéro faux positif n'est pas promis.
- Graphe et chemins d'attaque.
- Surveillance continue, webhooks signés HMAC, intégrations Jira, GitHub, GitLab, Slack, connecteur SIEM sur les paliers hauts.
- Scans non intrusifs, compatibles production. Le périmètre est contrôlable (exclusions).

**Tarifs** (nets, TVA non applicable art. 293 B du CGI) :
- **Découverte, 0 €**, sans limite de durée : 1 domaine, jusqu'à 25 actifs, 10 scans par mois, 2 validations IA par mois, alertes email, 1 utilisateur.
- **Pro, 99 € par mois** : jusqu'à 5 domaines et 250 actifs, 100 scans par mois, 30 validations IA, webhooks, intégrations, exports PDF et CSV, API (5 clés), jusqu'à 5 utilisateurs.
- **Business, 299 € par mois** : jusqu'à 15 domaines et 1 000 actifs, scans illimités, 100 validations IA, SSO et RBAC, connecteur SIEM, traitement prioritaire.
- **Enterprise, sur devis** : volumes illimités, SSO/SAML et SCIM, validation IA renforcée, DPA conforme RGPD, contrat-cadre.

**Modules** (chacun a sa page) :
- **Attack Surface** : /produits/external-attack-surface-management-easm/attack-surface-monitoring
- **Supply Chain** : /produits/external-attack-surface-management-easm/supply-chain-security. Crawl passif des pages publiques pour inventorier les scripts et dépendances tiers réellement exécutés chez vos visiteurs, puis notation du risque (paquet abandonné ou malveillant, dependency confusion, typosquat npm, SRI manquant, secret oublié dans une source map).
- **Leaks & Secrets** : /produits/external-attack-surface-management-easm/leaks-and-secrets-detection. Dépôts Git publics, buckets ouverts, fichiers accessibles en clair rattachés à votre surface. La valeur des secrets trouvés est masquée avant d'être stockée.
- **Pentest automatisé (PTaaS)** : /produits/external-attack-surface-management-easm/automated-pentest
- **AI-Native Pentest (AI-PTaaS)** : /produits/external-attack-surface-management-easm/ai-native-pentest

**Conformité.** L'EASM produit l'inventaire continu des actifs exposés et l'historique des remédiations que réclame un dossier NIS2. Il ne délivre aucune certification : il n'en existe pas pour NIS2.

### SecAI, https://own2pwn.fr/produits/ai-native-application-security-appsec

**Statut : en pré-lancement.** Le tier Starter est ouvert en self-service et les paliers Pro et Team sont facturés ; seules les capacités déjà en service sont décrites. Runtime : https://secai.own2pwn.fr

**Principe.** Un moteur SAST déterministe suit le flux de la donnée (taint) de la source jusqu'au sink sensible, à travers les fonctions et les fichiers, puis un agent LLM élague les faux positifs avant qu'ils n'arrivent dans le backlog. Chaque finding affiche sa chaîne source vers sanitizer vers sink. Le même scan couvre les dépendances (SCA filtré par atteignabilité), l'IaC et les secrets, et les résultats sont corrélés en chemins d'attaque.

**Couverture langages.** 19 langages parsés par le moteur de taint (grammaire tree-sitter et walker de flux), dont 14 en profondeur : Python, JavaScript/TypeScript et Java en tête, puis Go, PHP, Ruby, Kotlin, C, C++, C#, Rust, Swift, Scala, Bash. Cinq (Dart, Lua, Perl, PowerShell, R) sont limités à l'injection et au path traversal, sans sanitizers, et présentés comme tels. Frameworks web reconnus pour les routes et points d'entrée : Django, Flask, FastAPI, Express, NestJS, Next.js, Spring, Laravel, Symfony, Rails, ASP.NET Core, entre autres.

**Intégration.** GitHub App, GitHub Action, export **SARIF** natif, gate de sévérité, suggestions de correction en PR/MR, scans sur push, sur PR et planifiés, notifications Slack, webhook et email.

**Tarifs** (nets, TVA non applicable art. 293 B du CGI) :
- **Starter, 0 €** : 2 dépôts, pré-pass déterministe illimité (SAST, SCA, IaC, secrets), 20 validations IA par mois, jusqu'à 10 scans par jour, rapport HTML et export SARIF.
- **Pro, 99 € par mois** : dépôts illimités, 250 validations IA par mois, jusqu'à 200 scans par jour, vérification par agent et corrélation en chemins d'attaque, jusqu'à 5 utilisateurs.
- **Team, 299 € par mois** : 750 validations IA par mois, SSO/SAML et RBAC, file d'analyse prioritaire, jusqu'à 15 utilisateurs.
- **Enterprise, sur devis** : volume négocié, SSO/SAML/SCIM, audit logs, runner auto-hébergé, DPA conforme RGPD.
- Validation IA supplémentaire au-delà du quota : **0,30 €** l'unité (pay-as-you-go).

**Modules** :
- **AI-Native SAST** : /produits/ai-native-application-security-appsec/ai-native-sast-static-analysis
- **AI-Native SCA** : /produits/ai-native-application-security-appsec/ai-native-sca-software-composition-analysis

**Données.** Hébergement dans l'UE, aucun entraînement de modèle sur le code des utilisateurs, exports récupérables à la sortie.

**Positionnement face aux outils établis** (Snyk, Semgrep, CodeQL, Checkmarx) : SecAI est moins exhaustif sur les langages exotiques et l'assume. Son parti pris est le triage, l'exploitabilité et la corrélation en chemins d'attaque. Il ne remplace pas un pentest humain.

### GRC, https://own2pwn.fr/produits/conformite-nis2-recyf-grc

**Statut : payant dès le premier plan, pas de tier gratuit.** Application : https://grc.own2pwn.fr

**Principe.** Outil de préparation à NIS2 fondé sur le **ReCyF**, le référentiel de cybersécurité publié par l'ANSSI en **document de travail daté du 17 mars 2026** : 20 objectifs de sécurité déclinés en 152 moyens acceptables de conformité. On décrit ses entités assujetties et leurs systèmes d'information, on répond moyen par moyen, et l'outil produit l'analyse de conformité par système d'information, le plan d'action daté (l'artefact 2.C qu'un contrôleur lit en premier) et le registre de preuves horodatées.

**Ce que ce produit n'est pas, et ne doit jamais être présenté comme tel.** Ce n'est ni une certification, ni une attestation, ni une garantie de conformité : il n'existe aucune certification NIS2, la transposition française de la directive n'est pas promulguée et le ReCyF lui-même reste un document de travail. Aucun score ni pourcentage de conformité n'est affiché : les 152 moyens n'ont ni le même poids ni la même applicabilité selon l'activité, et un chiffre unique laisserait croire à une mesure officielle. La conformité se constate au contrôle, par l'autorité compétente.

**Capacités.**
- Les 20 objectifs et 152 moyens du ReCyF dans leur formulation d'origine, avec la version du référentiel affichée sur chaque analyse.
- Analyse par système d'information : périmètre, responsables, avancement, une entité pouvant en porter plusieurs.
- Plan d'action daté avec responsable nommé, export PDF et CSV.
- Registre de preuves horodatées, rattachées au moyen documenté et à la version du plan d'action.
- Archive vérifiable hors ligne (plan Pro et au-delà) : empreintes cryptographiques et index signé, relisible sans compte et sans le service. Ce n'est pas un horodatage qualifié eIDAS.
- Suggestions IA de rédaction des moyens (plan Pro et au-delà), à l'état de brouillon tant qu'elles ne sont pas relues et validées.

**Tarifs** (nets, TVA non applicable art. 293 B du CGI ; l'annuel vaut dix mensualités) :
- **Starter, 149 € par mois** (1 490 € par an) : 1 entité assujettie, 3 systèmes d'information, référentiel complet, plan d'action, registre de preuves, exports PDF et CSV.
- **Pro, 399 € par mois** (3 990 € par an) : 3 entités, 15 systèmes d'information, archive vérifiable, clés API, suggestions IA, historique des versions.
- **Business, 899 € par mois** (8 990 € par an) : entités et systèmes d'information illimités, vue consolidée, rôles et périmètres par entité, support prioritaire.

**Articulation avec le reste.** L'audit NIS2 vendu en prestation couvre le volet technique (preuve d'efficacité des mesures) ; GRC tient le dossier documentaire dans la durée, sur l'ensemble du référentiel. Les livrables d'un pentest ou d'un scan EASM se déposent dans le registre de preuves, sous le moyen qu'ils documentent.

## Services

Les trois prestations sont menées par le même pentester certifié OSWE. Chacune livre un rapport à deux niveaux (synthèse exécutive et détail technique avec preuves d'exploitation, scores CVSS et remédiation priorisée) et inclut au moins un retest.

### Pentest Web Blackbox, https://own2pwn.fr/services/pentest-web-blackbox

Test d'intrusion en boîte noire : aucun accès au code ni à l'architecture, la position exacte d'un attaquant sur Internet. Reconnaissance, énumération, puis exploitation réelle dans la limite de l'autorisation écrite, jusqu'à l'impact concret (accès aux données, prise de compte, contournement d'authentification). Couverture OWASP Top 10 et API modernes testées spécifiquement (REST, GraphQL, SOAP). Tests non destructifs, staging ou préproduction par défaut.

Tarifs nets : **TJM 450 €**. Mission 5 jours **2 250 €**, mission 10 jours **4 500 €**, sur mesure sur devis. Rapport livré sous 5 à 10 jours ouvrés après les tests. Retest inclus.

### Pentest Web Whitebox, https://own2pwn.fr/services/pentest-web-whitebox

Test d'intrusion en boîte blanche avec accès au code source, à l'architecture et idéalement à l'infrastructure. Revue de code manuelle, SAST outillé puis trié à la main, DAST guidé par le code, revue d'architecture, audit des configurations serveurs, bases de données et cloud, analyse de l'implémentation cryptographique. C'est le format qui sort les failles de logique métier, les race conditions et la cryptographie cassée, invisibles en boîte noire.

NDA signé avant tout engagement, code analysé en environnement isolé et en lecture seule, supprimé après la mission.

Tarifs nets : **TJM 600 €**. Mission 5 jours **3 000 €**, mission 10 jours **6 000 €**, sur mesure sur devis. 1 à 2 retests inclus selon le format.

### Audit NIS2, volet technique, https://own2pwn.fr/services/audit-nis2

L'article 21.2 de la directive (UE) 2022/2555 ne demande pas seulement de déployer des mesures : la mesure (f) exige d'**évaluer leur efficacité**. C'est ce que couvre cette prestation. Un pentester attaque les systèmes exposés, documente ce qui cède, et produit les preuves techniques qu'un dossier d'audit réclame : rapport exploitable, matrice reliant chaque constat aux mesures de l'article 21.2, inventaire des actifs exposés, plan de remédiation priorisé, retest de validation, restitution en séance.

**Périmètre volontairement borné.** C'est le volet technique, pas le volet gouvernance : ni PSSI, ni analyse de risques, ni plan de continuité, ni gestion de crise. La formulation retenue est "aide à démontrer", jamais "conformité garantie" : il n'existe ni certification ni attestation NIS2.

Tarifs nets : mission 5 jours **2 250 €**, mission 10 jours **4 500 €**, sur mesure sur devis (TJM 450 €). Retests inclus (1 puis 2 selon le format).

## Pages annexes

- **/a-propos** : positionnement, méthode, valeurs, et la section ancrée `#auteur` qui décrit l'entité éditoriale du blog (nom de plume "own2pwn", certification OSWE, profils publics).
- **/contact** : formulaire pour un devis, une question technique ou commerciale. Réponse annoncée sous 24 h.
- **/reserver** : réservation d'un créneau de démonstration de 30 minutes en visioconférence.
- **/diagnostic-nis2** : questionnaire d'auto-évaluation de la posture NIS2.
- **/ressources/checklist-nis2-dora** : checklist imprimable de mise en conformité NIS2 et DORA.
- **/glossaire** et **/glossaire/[terme]** : définitions des termes du domaine (EASM, pentest, AppSec, conformité).
- **/articles**, **/categories** et **/rss.xml** : blog technique en français (sécurité offensive, AppSec, exploitation, conformité) et son flux.
- **/status** : état des services.
- **/legal/** : mentions légales, CGV, CGU, confidentialité, cookies, divulgation de vulnérabilités. Les six pages existent en français et en anglais.

## Contractuel et commercial

- **Le tunnel de paiement est réservé aux professionnels.** La souscription exige une raison sociale, un **SIRET français valide** et la case "j'agis pour les besoins de mon activité professionnelle", validés côté serveur. Un acheteur hors France ne peut pas passer le tunnel en l'état.
- Moyens de paiement : **carte bancaire uniquement**.
- Les abonnements SaaS sont mensuels et résiliables ; la gestion passe par le portail de facturation.
- Divulgation de vulnérabilité sur les actifs own2pwn : voir /legal/divulgation-vulnerabilites.

## Glossaire de désambiguïsation

- **own2pwn** : nom commercial de THE HIVE (SASU), et nom de plume éditorial du blog.
- **own2pwn.fr** : site corporate, la présente ressource.
- **easm.own2pwn.fr** : application de la plateforme EASM.
- **secai.own2pwn.fr** : runtime de la plateforme SecAI. "AI-Native AppSec" désigne la même plateforme dans la communication marketing.
- **auth.own2pwn.fr** : service d'authentification partagé par les trois domaines.
- **OSWE** : OffSec Web Expert, certification OffSec spécialisée dans l'exploitation et la revue de code des applications web.
- **EASM** : External Attack Surface Management, découverte et surveillance continue des actifs exposés à Internet.
- **SAST / SCA / DAST / IaC** : analyse statique du code, analyse de composition logicielle, analyse dynamique d'une application en exécution, infrastructure as code.
- **KEV / EPSS** : catalogue des vulnérabilités activement exploitées, et probabilité d'exploitation à 30 jours.
- **PTaaS** : Pentest as a Service, test d'intrusion délivré en continu par une plateforme.
- **NIS2** : directive (UE) 2022/2555 sur un niveau élevé commun de cybersécurité dans l'Union.

## Mots-clés

cybersécurité offensive, pentest web, test d'intrusion, pentest blackbox, pentest whitebox, EASM, surface d'attaque externe, gestion de la surface d'attaque, AppSec, SAST, SCA, IaC, secrets, SARIF, chemins d'attaque, PTaaS, audit NIS2, article 21.2, DORA, OSWE, OWASP, PTES, RGPD, Union européenne.