Méthodologie pentest web 2026 : OWASP WSTG en pratique

Un pentest d'application web en 2026 suit une méthodologie structurée en six phases — cadrage, reconnaissance, mapping, exploitation selon OWASP WSTG, post-exploitation, reporting — étalées sur 3 à 40 jours-homme selon périmètre. La référence méthodologique dominante reste OWASP Web Security Testing Guide (WSTG) version 4.2, complétée par PTES (Penetration Testing Execution Standard) pour le cadrage pré-engagement et NIST SP 800-115 pour les contextes conformité US. En France, le référentiel PASSI de l'ANSSI impose ces méthodologies aux prestataires qualifiés. Cet article détaille chaque phase avec les livrables attendus, la stack d'outils 2026, les pièges courants et les cadres légaux français à maîtriser pour exécuter un pentest web professionnel.

Pourquoi suivre une méthodologie formelle en pentest web

Une méthodologie formelle répond à trois exigences opposées qui structurent tout pentest web professionnel.

1. Couverture systématique : sans méthodologie, un pentester manque mécaniquement 30 à 50 % des vulnérabilités présentes. Les tests d'autorisation horizontale (WSTG-ATHZ-02) ou les failles de business logic sont typiquement les premiers oubliés quand on procède à l'instinct.
2. Reproductibilité : un rapport professionnel doit pouvoir être rejoué par le client ou par un autre prestataire avec le même résultat. La traçabilité des tests effectués, échecs inclus, est un exigible PASSI.
3. Défense juridique : l'exécution d'une méthodologie reconnue (WSTG, PTES) dans le périmètre contractuel constitue un élément de défense en cas de litige sur la qualité de la prestation ou sur un incident survenu pendant la mission.

Les trois méthodologies de référence en 2026 se complètent plutôt qu'elles ne s'opposent.

Phase 1 — Cadrage et pré-engagement

Le cadrage est la phase la plus sous-estimée par les débutants, et celle qui fait le plus de dégâts quand elle est bâclée. Durée typique : 0,5 à 2 jours-homme.

Livrables de cadrage à produire et signer avant tout test

• SOW (Statement of Work) décrivant le périmètre technique, les objectifs, les livrables attendus, la durée et le prix.
• NDA (non-disclosure agreement) protégeant les informations client.
• Rules of Engagement (RoE) précisant : adresses IP sources autorisées, plages horaires d'intervention, méthodes autorisées/interdites (DoS typiquement interdit), données sensibles à ne pas extraire, contacts d'urgence et procédure d'escalade.
• Autorisation écrite explicite (letter of authorization) du propriétaire du système, écartant l'article 323-1 du Code pénal en droit français. Sans cette autorisation, le pentester est techniquement en infraction quel que soit le résultat.

Éléments à clarifier impérativement

• Périmètre : URLs exactes, sous-domaines inclus/exclus, endpoints API, environnement (production vs préprod vs test).
• Type d'accès : black box (aucun identifiant), grey box (comptes utilisateurs fournis), white box (code source + accès admin).
• Exclusions techniques : typiquement DoS/DDoS, tests de sur-charge, attaques sur tiers (CDN, SaaS non possédés).
• Actions non autorisées : exfiltration de PII massive, modifications irréversibles, persistence long terme.
• Fenêtre temporelle : dates de début/fin, horaires (ouvrés, nuits, week-ends).
• Contacts : lead technique côté client, contact escalade 24/7, RSSI ou équivalent pour validation.

Phase 2 — Reconnaissance (passive puis active)

Objectif : cartographier la surface d'attaque accessible avant tout contact actif avec la cible. Durée typique : 0,5 à 2 jours.

Reconnaissance passive

Aucune requête directe à l'application cible, uniquement des sources tierces. Intérêt principal : invisibilité totale pour la cible.

• DNS passif : SecurityTrails, RiskIQ Passive DNS, VirusTotal, DNSDumpster.
• Certificate Transparency : crt.sh, Censys, facilonline — permet de récupérer tous les sous-domaines ayant jamais eu un certificat émis.
• Moteurs d'indexation offensive : Shodan, Censys, FOFA, ZoomEye, GreyNoise.
• Google dorking et Wayback Machine : anciens contenus, endpoints oubliés.
• Fuites GitHub/GitLab : trufflehog, gitleaks, github-dorks pour secrets exposés.
• OSINT RH : LinkedIn pour identifier les technos en place (offres emploi « recherche Node.js + MongoDB »), les noms de collaborateurs techniques.

Reconnaissance active (après autorisation)

Premier contact avec la cible. Les requêtes sont tracées côté client.

# Pipeline reconnaissance active typique (scope autorisé)
TARGET="example.com"
OUTPUT="recon_${TARGET}_$(date +%Y%m%d)"
mkdir -p "$OUTPUT"
 
# Enumeration de sous-domaines multi-sources
subfinder -d "$TARGET" -silent > "$OUTPUT/subs_passive.txt"
amass enum -passive -d "$TARGET" >> "$OUTPUT/subs_passive.txt"
sort -u "$OUTPUT/subs_passive.txt" > "$OUTPUT/subs_all.txt"
 
# Resolution DNS et identification des hosts actifs
dnsx -l "$OUTPUT/subs_all.txt" -a -resp -silent > "$OUTPUT/resolved.txt"
 
# HTTP probing, extraction de titres et de techno
cat "$OUTPUT/subs_all.txt" | httpx \
    -title -status-code -tech-detect -silent \
    -o "$OUTPUT/http_alive.txt"
 
# Scan de ports ciblé sur les hosts vivants (rate-limit conservateur)
nmap -iL "$OUTPUT/resolved.txt" \
    -p 80,443,8080,8443,8000,8888,3000,5000 \
    -sV --version-intensity 5 \
    --max-rate 100 \
    -oA "$OUTPUT/nmap_http"
 
# TLS configuration audit
testssl.sh --parallel --jsonfile "$OUTPUT/testssl.json" \
    $(awk '{print $1}' "$OUTPUT/http_alive.txt")

Livrables de la phase 2 : inventaire complet des sous-domaines résolus, endpoints HTTP actifs, technologies identifiées (framework, CMS, serveur, TLS), cartographie initiale prête pour la phase mapping.

Phase 3 — Mapping et analyse de surface d'attaque

Objectif : identifier tous les points d'interaction (endpoints, paramètres, fonctionnalités, flux métier) avant d'entamer l'exploitation systématique. Durée typique : 0,5 à 2 jours.

• Spidering automatique : Burp Suite Pro crawler + AJAX crawler, OWASP ZAP spider standard + AJAX.
• Fuzzing de répertoires et fichiers : ffuf, feroxbuster, gobuster, dirsearch avec wordlists SecLists raft/raft-medium.
• Content discovery avancé : kiterunner pour API endpoints basés sur Swagger/OpenAPI, katana pour crawling headless.
• Parameter discovery : Arjun, x8, Burp Param Miner pour les paramètres cachés.
• Identification des API : fichiers swagger.json, openapi.yaml, GraphQL /graphql + introspection, WSDL.
• Technology fingerprinting : Wappalyzer, whatweb, webtech, Retire.js pour les dépendances JS vulnérables.
• Wayback et JS files analysis : extraction d'endpoints depuis fichiers .js historiques via gau + LinkFinder.

Tableau des zones fonctionnelles à identifier

Phase 4 — Exploitation selon OWASP WSTG

Cœur du pentest : couvrir systématiquement les 12 catégories OWASP WSTG. Durée typique : 50-70 % du temps total de mission.

Les 12 catégories OWASP WSTG v4.2

Stack d'outils 2026 par famille de test

Mapping WSTG → OWASP Top 10 2021 (pour reporting aligné double-référentiel)

Phase 5 — Post-exploitation et chaînage

Objectif : transformer une vulnérabilité isolée en démonstration d'impact réel pour le client, sans compromettre la production. Durée typique : 10-15 % du temps total.

• Chaîner les vulnérabilités : une XSS stockée + CSRF + faible politique de session conduit à un account takeover. Un SSRF + accès metadata AWS conduit à une compromission d'instance. Un IDOR + export CSV conduit à une fuite massive.
• Démontrer l'impact business, pas juste technique : au lieu de « XSS réfléchie sur /search », écrire « vol de session administrateur via XSS réfléchie, démontré sur compte de test, permettant la prise de contrôle complète du panel admin avec accès à 12 500 comptes clients ».
• Limiter le blast radius : si l'exploitation requiert un proof-of-concept destructif (modification de base, envoi d'email, transaction), valider avec le contact client avant et dans un périmètre de test défini.
• Collecte d'artefacts : captures d'écran des requêtes HTTP (Burp export), réponses serveur, timestamps, IP source, preuve de la réussite.

Chaînage typique à documenter

Phase 6 — Reporting et restitution

Objectif : livrer un rapport actionnable, reproductible et défendable. Durée typique : 15-20 % du temps total.

Structure d'un rapport pentest professionnel

1. Résumé exécutif (1-2 pages) : périmètre, méthode, verdict global, top 5 vulnérabilités, recommandations stratégiques. Destinataire : direction, RSSI.
2. Contexte et méthodologie : référentiels utilisés (WSTG v4.2, PTES, OWASP ASVS si pertinent), outils, limites, exclusions.
3. Résultats détaillés par vulnérabilité : titre clair, sévérité CVSS, description, preuve technique (captures + HTTP requests), impact business, recommandation priorisée.
4. Synthèse par famille OWASP Top 10 : tableau de répartition.
5. Plan de remédiation priorisé : quick wins vs chantiers moyen terme.
6. Annexes techniques : logs d'outils, timeline de la mission, liste exhaustive des endpoints testés.

Scoring des vulnérabilités

• CVSS v3.1 reste dominant en 2026 dans les outils de reporting, utilisé pour le score principal.
• CVSS v4.0 apparaît sur les vulnérabilités critiques quand la contextualisation environnementale est significative.
• CWE (Common Weakness Enumeration) pour la taxonomie technique.
• CAPEC optionnel pour les scénarios d'attaque complexes.

Outils de reporting 2026

Restitution orale

Une restitution de 1-2 heures au client est standard pour les missions > 10 jours. Présenter : contexte, top 5-10 findings avec démos live des plus critiques, recommandations classées par effort/impact, plan de remédiation, questions ouvertes.

Pièges courants et éthique

Oublier les tests d'autorisation horizontale. Les IDOR (Insecure Direct Object Reference) restent la cause n°1 des fuites de données en 2023-2025. Tester systématiquement chaque endpoint /api/<resource>/:id avec un compte différent.

Ne pas tester la business logic. Les vulnérabilités de logique métier (manipulation de prix, bypass de workflow, double soumission) représentent 15-20 % des vulnérabilités critiques et sont les plus valorisées par les clients matures.

Négliger les tests API. En 2026, la plupart des applications web modernes ont une API REST ou GraphQL qui porte 60-80 % de la logique. Un pentest centré uniquement sur le front UI manque l'essentiel. OWASP API Security Top 10 2023 doit être connu au même titre que l'OWASP Top 10 classique.

Livrer un rapport sans plan de remédiation priorisé. Un client non-technique ne sait pas traiter 30 vulnérabilités sans priorisation. Classer en quick wins (< 1 jour dev), moyen terme (1-5 jours dev), chantier (> 5 jours dev) et par impact métier.

Exploiter au-delà du périmètre autorisé. Un pentester qui pivote vers des machines non listées dans le scope ou qui exfiltre des données clients à titre de « démonstration » s'expose à des poursuites pénales. La règle d'or : en cas de doute, stopper et demander autorisation écrite explicite.

Points clés à retenir

• 6 phases : cadrage, reconnaissance, mapping, exploitation WSTG, post-exploitation, reporting.
• Durée standard : 3-5 j (simple vitrine) à 20-40 j (app critique avec ATHN/ATHZ profonds).
• Référentiels 2026 : OWASP WSTG v4.2 + PTES + OWASP Top 10 2021 + OWASP ASVS v4. PASSI si OIV/OSE France.
• Autorisation écrite préalable obligatoire en France (articles 323-1 à 323-3 Code pénal).
• Stack outils de référence : Burp Suite Pro ou Caido en proxy, sqlmap / nuclei / ffuf en automation, Interactsh en OOB, PlexTrac/WriteHAT en reporting.
• Le chaînage de vulnérabilités transforme une liste de findings en démonstration d'impact business.
• Scoring double CVSS v3.1 (principal) + CWE en 2026, basculement progressif vers CVSS v4.0.
• Rapport structuré : résumé exécutif en tête, plan de remédiation priorisé obligatoire.

Pour aller plus loin

• Roadmap pentest web 2026 : parcours d'apprentissage — la trajectoire de formation pour atteindre le niveau requis par cette méthodologie.
• Roadmap pentest 2026 : généraliste à spécialiste — positionnement du pentest web dans l'ensemble des spécialités offensives.
• Roadmap bug bounty 2026 — complément individuel à la méthodologie de mission structurée.
• Étapes pour devenir pentester en 2026 — trajectoire carrière pour pratiquer ce métier en France.
• Salaire pentester France 2026 — benchmark rémunération, utile pour positionner un TJM de prestation.