Modèle de contrat de pentest gratuit

Présentation

Le contrat de pentest (test d'intrusion, ou « penetration testing ») organise l'intervention d'un prestataire spécialisé chargé de rechercher, dans des conditions contrôlées et autorisées, les vulnérabilités de sécurité d'un système d'information, d'une application ou d'une infrastructure réseau. Ce contrat a une particularité juridique majeure par rapport à une prestation informatique classique : l'accès du prestataire aux systèmes du client, qui reproduit délibérément les techniques d'une attaque informatique, n'est licite que parce qu'il est expressément autorisé par écrit par le client, dans un périmètre précisément défini. En l'absence d'une telle autorisation, la même intervention constituerait un accès ou un maintien frauduleux dans un système de traitement automatisé de données, infraction pénale prévue et réprimée par l'article 323-1 du Code pénal. Ce contrat relève du droit commun des contrats (articles 1101 et suivants du Code civil) et du régime du contrat d'entreprise. Il s'accompagne presque toujours d'un mandat ou d'une lettre d'autorisation distincte (parfois appelée « get out of jail free letter » dans la pratique professionnelle), qui doit être signée par une personne habilitée du client avant tout début d'intervention et couvrir précisément les systèmes, adresses IP, domaines ou applications concernés. Lorsque le périmètre testé inclut des systèmes hébergés par un tiers (hébergeur cloud, prestataire SaaS), l'autorisation de ce tiers peut également être requise selon ses propres conditions contractuelles. Par ailleurs, dès lors que le test peut conduire le prestataire à accéder à des données à caractère personnel (bases de données clients, comptes utilisateurs), le RGPD s'applique et le prestataire agit en principe comme sous-traitant, ce qui impose un accord de traitement des données (DPA) distinct. Quand l'utiliser : chaque fois qu'une entreprise fait appel à un prestataire externe pour évaluer la sécurité de son système d'information par des techniques offensives contrôlées — audit de sécurité applicatif, test d'intrusion réseau, test d'ingénierie sociale, préparation à une certification ou conformité réglementaire. Parties : le prestataire réalisant le test d'intrusion (souvent une entité spécialisée en cybersécurité) et le client, propriétaire ou responsable des systèmes testés, dont l'identité et le numéro SIREN doivent être précisés, ainsi que l'identité de la personne habilitée à donner l'autorisation d'intervention. Clauses essentielles : l'autorisation écrite préalable et le périmètre exact du test (systèmes, adresses IP, domaines, applications explicitement inclus ou exclus) ; les techniques et méthodes autorisées (test en boîte noire, grise ou blanche, tests applicatifs, réseau, ingénierie sociale) et celles expressément exclues ; la fenêtre d'intervention et les contacts d'urgence en cas d'incident pendant le test ; la confidentialité renforcée du rapport de vulnérabilités, document particulièrement sensible ; le traitement des données découvertes ou consultées pendant le test, avec renvoi vers un DPA distinct si des données personnelles sont concernées ; et la limitation de responsabilité du prestataire en cas d'incident survenu pendant le test, en particulier pour les systèmes de production. Erreurs à éviter : réaliser un test d'intrusion sans autorisation écrite préalable signée par une personne habilitée du client, ce qui expose le prestataire à des poursuites pénales même en l'absence de préjudice réel ; définir un périmètre imprécis ou trop large, incluant par exemple des systèmes appartenant à des tiers non consentants ; omettre de prévoir une procédure d'urgence en cas de découverte d'une vulnérabilité critique ou d'un incident pendant le test (arrêt immédiat, contact du client) ; et ne pas encadrer strictement la diffusion du rapport de vulnérabilités, dont la divulgation à des tiers non autorisés créerait un risque de sécurité majeur pour le client.