Des outils comme Pentera, Horizon3.ai NodeZero ou RidgeBot promettent des tests de pénétration entièrement automatisés — 24 heures sur 24, sans intervention humaine. Mais tiennent-ils cette promesse ? Et qu’est-ce que cela signifie pour les PME suisses qui n’ont ni le budget d’un grand groupe ni une équipe de sécurité dédiée ?
Une analyse honnête, basée sur la pratique et les faits.
Ce que les outils de pentest automatisés font réellement
Commençons par le positif — et il y en a beaucoup. La génération actuelle de plateformes de pentest automatisé est impressionnante :
- Pentera simule de véritables chaînes d’attaques sur votre infrastructure interne — de la vulnérabilité initiale au mouvement latéral. L’outil ne vérifie pas seulement si une vulnérabilité existe, mais si elle est réellement exploitable.
- Horizon3.ai NodeZero agit comme un pentester autonome : il scanne votre réseau, identifie les chemins d’attaque et tente activement d’accéder aux systèmes critiques. Dans le cadre du programme NSA CAPT, NodeZero a découvert plus de 50 000 vulnérabilités chez 1 000 fournisseurs de la défense américaine — avec des compromissions de domaine en seulement 77 secondes.
- RidgeBot combine le scanning automatisé avec une planification d’attaque assistée par IA et fournit des exploits vérifiés avec un impact documenté.
Ces outils détectent de manière fiable les vulnérabilités connues (CVE), testent les mots de passe par défaut, identifient les erreurs de configuration et découvrent les chemins d’attaque typiques. Et ils le font rapidement, de manière reproductible et cohérente — un testeur humain a de bons et de mauvais jours, pas un outil automatisé.
Où l’automatisation surpasse l’humain
Dans certains domaines, les outils automatisés sont effectivement meilleurs que les pentesters manuels :
- Vitesse et couverture : Un outil automatisé peut tester des milliers d’hôtes et de services en quelques heures. Un testeur humain n’en couvre qu’une fraction dans le même délai.
- Cohérence : Chaque test suit la même méthodologie. Aucune vulnérabilité n’est oubliée parce que le testeur était fatigué ou sous pression.
- Fréquence : Les tests automatisés peuvent être exécutés chaque semaine, voire quotidiennement. Un pentest manuel a lieu une à deux fois par an — bien trop rarement dans un monde où de nouvelles CVE sont publiées chaque jour.
Pour la détection des vulnérabilités connues, des erreurs de configuration standard et des mots de passe faibles, ces outils sont au moins équivalents à un pentest manuel moyen — souvent supérieurs.
Où se trouvent les limites
Mais toute analyse honnête doit aussi aborder les limites. Et elles sont réelles :
- Failles de logique métier : Les outils automatisés ne comprennent pas vos processus métier. Un testeur manuel repère qu’on peut manipuler un processus de commande pour acheter des articles à prix négatif. Un outil automatisé ne voit que des requêtes HTTP. Un exemple connu : une entreprise américaine a fait réaliser 16 pentests automatisés par 7 fournisseurs différents — tous ont manqué une vulnérabilité critique avec plus de 100 millions de dollars de dommages potentiels. Une équipe Red Team manuelle l’a trouvée.
- Chaînes d’attaques complexes : Les meilleurs pentesters combinent de manière créative des vecteurs sociaux, techniques et physiques. Un outil automatisé ne peut pas rédiger un e-mail de phishing adapté à la structure spécifique de votre organisation.
- Découverte de zero-days : Les outils automatisés testent contre les vulnérabilités connues. Ils ne trouvent pas les failles inconnues dans des applications sur mesure — cela nécessite une réflexion humaine créative.
- Compréhension du contexte : Un testeur expérimenté sait quels résultats sont véritablement critiques dans votre environnement spécifique et lesquels sont théoriques mais sans pertinence pratique. Les outils priorisent selon des scores génériques.
La question du coût : des outils Enterprise pour des budgets PME ?
C’est ici que les choses se concrétisent pour les PME suisses — et deviennent décevantes. Ces plateformes de pentest automatisé sont des produits Enterprise avec des prix Enterprise :
- Pentera démarre à environ USD 35 000 par an. Les licences Enterprise typiques s’élèvent à USD 120 000 et plus annuellement.
- Horizon3.ai NodeZero ne publie pas ses prix et travaille avec des devis personnalisés. Le positionnement cible clairement les grandes organisations.
- RidgeBot est disponible à partir d’environ USD 500-1 000, mais avec un périmètre très limité (par ex. une seule application web ou 20 IP).
À titre de comparaison : un pentest manuel annuel pour une PME coûte typiquement CHF 8 000 à 20 000 selon le périmètre. Un scanner de vulnérabilités comme Nessus, OpenVAS ou Qualys revient à CHF 2 000 à 5 000 par an. Pour une PME de 20 à 100 collaborateurs, une licence Pentera dépasse tout budget réaliste — et même si le budget existait, la question reste de savoir si la valeur ajoutée par rapport à un bon scanner de vulnérabilités combiné à un pentest manuel ciblé justifie le prix.
La perspective suisse : résidence des données et nLPD
Pour les entreprises suisses, il existe une dimension supplémentaire rarement évoquée : Où finissent vos données de scan ?
Les outils de pentest automatisés collectent des informations hautement sensibles : topologies réseau, vulnérabilités, mots de passe, détails de configuration. Ces données sont une mine d’or pour un attaquant.
- Pentera Core se déploie comme appliance on-premises (VM) dans votre réseau — les tests s’exécutent localement. Cependant, il convient de vérifier avant le déploiement si et quelles données sont transmises à l’infrastructure cloud de Pentera pour la gestion des licences ou les mises à jour.
- Horizon3.ai NodeZero est une plateforme SaaS. Un conteneur Docker s’exécute localement, mais l’orchestration passe par l’infrastructure cloud d’Horizon3 aux États-Unis. Selon l’éditeur, seules les métadonnées (pas le contenu des fichiers) sont transmises et supprimées après 5 jours — mais des informations d’infrastructure transitent tout de même par un cloud américain.
- RidgeBot propose à la fois un déploiement cloud et on-premises.
Sous la nouvelle Loi fédérale sur la protection des données (nLPD), les solutions cloud exigent que vous garantissiez un niveau de protection des données adéquat. Pour des données de scan de sécurité — qui constituent de facto une cartographie des vulnérabilités de votre organisation — la prudence est de mise.
Ce qui est réellement pertinent pour les PME
Les outils de pentest automatisés peuvent-ils remplacer les pentests manuels ? Techniquement oui, dans de nombreux domaines. En pratique, le budget rend cela irréaliste pour la plupart des PME.
L’approche pragmatique pour les PME suisses diffère donc des promesses marketing des éditeurs Enterprise :
- Le scanning de vulnérabilités régulier comme fondation : Un scanner de vulnérabilités (Nessus, OpenVAS, Qualys ou équivalent) pour CHF 2 000 à 5 000 par an couvre la majorité des vulnérabilités connues, erreurs de configuration et logiciels obsolètes. Des scans hebdomadaires ou mensuels offrent la visibilité continue qu’un pentest annuel seul ne peut garantir.
- Un pentest manuel ciblé par an : Une fois par an, mandater un pentester expérimenté pour tester vos applications web, votre logique métier et votre infrastructure spécifique. Cela couvre ce qu’aucun outil automatisé ne peut faire — et fournit la preuve de conformité que les auditeurs et la nLPD exigent.
- Les plateformes de pentest Enterprise uniquement si le budget et la complexité le justifient : Des outils comme Pentera ou NodeZero sont pertinents pour les organisations disposant de réseaux vastes et complexes et d’un budget sécurité correspondant. Pour une PME de 50 postes de travail, c’est surdimensionné dans la plupart des cas.
Conclusion : pragmatisme plutôt que dogmatisme
La question « automatisé ou manuel » n’est pas la bonne. La bonne question est : de quoi votre organisation a-t-elle besoin pour réduire son risque spécifique à un niveau acceptable — dans les limites d’un budget réaliste ?
Pour la plupart des PME suisses, la réponse est claire : un scanning de vulnérabilités régulier comme base, complété par un pentest manuel annuel. C’est immédiatement actionnable, rentable et couvre à la fois la surveillance continue et l’analyse en profondeur. Les plateformes de pentest automatisé sont des outils impressionnants — mais pour la plupart des PME, simplement surdimensionnés et trop coûteux.
Car en fin de compte, le pentest le plus dangereux est celui que l’on ne fait jamais — qu’il soit automatisé ou manuel.
