Modèle de contrat de pentest gratuit

Présentation

Le contrat de pentest (test d'intrusion, ou « penetration testing ») organise l'intervention d'un prestataire spécialisé chargé de rechercher, dans des conditions contrôlées et autorisées, les vulnérabilités de sécurité d'un système d'information, d'une application ou d'une infrastructure réseau. Ce contrat a une particularité juridique majeure par rapport à une prestation informatique classique : l'accès du prestataire aux systèmes du client, qui reproduit délibérément les techniques d'une attaque informatique, n'est licite que parce qu'il est expressément autorisé par écrit par le client, dans un périmètre précisément défini. En l'absence d'une telle autorisation, la même intervention constituerait un accès ou un maintien frauduleux dans un système de traitement automatisé de données, infraction pénale prévue et réprimée par l'article 323-1 du Code pénal. Ce contrat relève du droit commun des contrats (articles 1101 et suivants du Code civil) et du régime du contrat d'entreprise. Il s'accompagne presque toujours d'un mandat ou d'une lettre d'autorisation distincte (parfois appelée « get out of jail free letter » dans la pratique professionnelle), qui doit être signée par une personne habilitée du client avant tout début d'intervention et couvrir précisément les systèmes, adresses IP, domaines ou applications concernés. Lorsque le périmètre testé inclut des systèmes hébergés par un tiers (hébergeur cloud, prestataire SaaS), l'autorisation de ce tiers peut également être requise selon ses propres conditions contractuelles. Par ailleurs, dès lors que le test peut conduire le prestataire à accéder à des données à caractère personnel (bases de données clients, comptes utilisateurs), le RGPD s'applique et le prestataire agit en principe comme sous-traitant, ce qui impose un accord de traitement des données (DPA) distinct. Quand l'utiliser : chaque fois qu'une entreprise fait appel à un prestataire externe pour évaluer la sécurité de son système d'information par des techniques offensives contrôlées — audit de sécurité applicatif, test d'intrusion réseau, test d'ingénierie sociale, préparation à une certification ou conformité réglementaire. Parties : le prestataire réalisant le test d'intrusion (souvent une entité spécialisée en cybersécurité) et le client, propriétaire ou responsable des systèmes testés, dont l'identité et le numéro SIREN doivent être précisés, ainsi que l'identité de la personne habilitée à donner l'autorisation d'intervention. Clauses essentielles : l'autorisation écrite préalable et le périmètre exact du test (systèmes, adresses IP, domaines, applications explicitement inclus ou exclus) ; les techniques et méthodes autorisées (test en boîte noire, grise ou blanche, tests applicatifs, réseau, ingénierie sociale) et celles expressément exclues ; la fenêtre d'intervention et les contacts d'urgence en cas d'incident pendant le test ; la confidentialité renforcée du rapport de vulnérabilités, document particulièrement sensible ; le traitement des données découvertes ou consultées pendant le test, avec renvoi vers un DPA distinct si des données personnelles sont concernées ; et la limitation de responsabilité du prestataire en cas d'incident survenu pendant le test, en particulier pour les systèmes de production. Erreurs à éviter : réaliser un test d'intrusion sans autorisation écrite préalable signée par une personne habilitée du client, ce qui expose le prestataire à des poursuites pénales même en l'absence de préjudice réel ; définir un périmètre imprécis ou trop large, incluant par exemple des systèmes appartenant à des tiers non consentants ; omettre de prévoir une procédure d'urgence en cas de découverte d'une vulnérabilité critique ou d'un incident pendant le test (arrêt immédiat, contact du client) ; et ne pas encadrer strictement la diffusion du rapport de vulnérabilités, dont la divulgation à des tiers non autorisés créerait un risque de sécurité majeur pour le client.

Informations à personnaliser

• Nom ou raison sociale du prestataire

• Forme juridique du prestataire

• Numéro SIREN du prestataire

• Adresse du prestataire

• Nom ou raison sociale du client

• Forme juridique du client

• Numéro SIREN du client

• Adresse du client

• Nom et fonction de la personne du client habilitée à autoriser le test

• Périmètre précis du test (systèmes, IP, domaines, applications inclus)

• Systèmes ou éléments explicitement exclus du périmètre

• Type et méthodologie du test

  Ex. : boîte noire, boîte grise, boîte blanche, applicatif, réseau, ingénierie sociale.

• Fenêtre d'intervention (dates et horaires)

• Contact d'urgence côté client pendant le test

• Procédure en cas de découverte d'une vulnérabilité critique ou d'incident

• Délai de remise du rapport de vulnérabilités

• Prix de la prestation

• Référence ou lien vers l'accord de traitement des données (DPA)

  Requis si le test peut conduire à un accès à des données personnelles.

• Plafond de responsabilité du prestataire

• Date de signature du contrat

Personnalisez votre modèle

Questions fréquentes

Pourquoi une autorisation écrite préalable est-elle indispensable pour un pentest ?

Parce qu'un test d'intrusion reproduit délibérément les techniques d'une attaque informatique. Sans autorisation écrite du client, couvrant précisément le périmètre testé, l'intervention peut constituer un accès ou un maintien frauduleux dans un système de traitement automatisé de données, infraction pénale au sens de l'article 323-1 du Code pénal — même en l'absence de préjudice réel pour le client.

Qui doit signer l'autorisation d'intervention côté client ?

Une personne dûment habilitée à engager le client sur les systèmes concernés — en pratique, souvent un dirigeant, un responsable de la sécurité des systèmes d'information (RSSI) ou toute personne disposant d'un pouvoir de décision sur l'infrastructure testée.

Que se passe-t-il si le système testé est hébergé par un tiers (cloud, SaaS) ?

L'autorisation du client peut ne pas suffire : de nombreux hébergeurs et fournisseurs cloud imposent leur propre procédure d'autorisation préalable pour tout test d'intrusion sur les infrastructures qu'ils exploitent. Il convient de vérifier les conditions contractuelles de l'hébergeur avant toute intervention.

Le rapport de vulnérabilités doit-il être traité différemment d'un rapport classique ?

Oui : ce rapport décrit précisément les failles de sécurité du client et constitue, s'il tombe entre de mauvaises mains, une feuille de route pour une attaque réelle. Une clause de confidentialité renforcée, limitant strictement sa diffusion, est essentielle.

Un pentest implique-t-il systématiquement un accord de traitement des données (DPA) ?

Pas systématiquement, mais très souvent : dès lors que le test peut conduire le prestataire à accéder à des données à caractère personnel (bases clients, comptes utilisateurs), celui-ci agit comme sous-traitant au sens du RGPD et un DPA distinct doit être conclu.

Que faire si une vulnérabilité critique est découverte en cours de test ?

Le contrat doit prévoir une procédure d'urgence : contact immédiat du client via un canal dédié, suspension des actions susceptibles d'aggraver la situation, et instructions du client avant toute poursuite du test.

Le test d'intrusion peut-il avoir un impact sur les systèmes de production ?

Oui, c'est un risque inhérent à ce type de prestation. Le contrat doit encadrer la fenêtre d'intervention, prévoir un contact d'urgence et, le cas échéant, limiter la responsabilité du prestataire tout en maintenant ses obligations de précaution professionnelle.

Modèles associés