Cadre légal d'un test d'intrusion en France : autorisation et périmètre

Niveau : débutant à intermédiaire.

Prérequis : connaître les notions de système d'information, de périmètre, de compte, de vulnérabilité, de preuve et de donnée personnelle. Aucun outil offensif n'est requis.

Cet article présente des repères généraux pour une mission située en France. Il ne donne pas d'avis juridique et ne permet pas de décider seul qu'une action est licite. La juridiction, le statut des parties, les contrats avec les hébergeurs, la nature des données et les secteurs réglementés peuvent changer l'analyse. Avant une mission réelle, fais valider le dispositif par les responsables habilités et, selon l'enjeu, par un professionnel du droit compétent. L'exercice proposé reste fictif et documentaire.

Une autorisation de test doit être explicite, antérieure aux actions et attribuable à une personne ou une entité habilitée. Un échange informel, un ticket vague ou l'accord d'un administrateur technique ne prouve pas nécessairement que l'organisation possède les systèmes ni qu'elle peut autoriser toutes les opérations prévues. Le document doit identifier le commanditaire, le prestataire, les intervenants autorisés, la période et l'objet de la mission.

L'autorisation ne se déduit jamais de l'accessibilité d'un service. Un site public, une adresse IP visible ou un dépôt ouvert ne constitue pas une invitation à tester. Elle ne s'étend pas non plus automatiquement aux filiales, prestataires cloud, opérateurs de paiement, CDN, services SaaS ou comptes appartenant à des tiers. Chaque dépendance doit être recensée, puis couverte par un droit clair ou exclue.

En France, l'article 323-1 du Code pénal sur Légifrance vise notamment l'accès ou le maintien frauduleux dans tout ou partie d'un système de traitement automatisé de données. L'existence d'un mandat précis contribue à distinguer une intervention convenue d'une action sans droit, mais cet article ne suffit pas à résoudre toutes les situations. Une validation professionnelle reste prudente lorsque l'habilitation du signataire, la propriété d'un actif ou la loi applicable est incertaine.

Le périmètre décrit les objets inclus et exclus. Il doit nommer les applications, URL, API, adresses, plages réseau, environnements, versions, régions cloud, rôles et comptes de test. Une formule comme « toute l'infrastructure » est rarement assez précise. Une liste d'actifs datée, jointe au contrat ou approuvée par un mécanisme de changement, réduit les interprétations divergentes.

Il faut séparer le périmètre technique du périmètre fonctionnel. Une application peut être incluse alors que les paiements réels, l'envoi de messages, l'espace d'administration ou certaines données restent exclus. De même, une adresse peut héberger plusieurs locataires. L'inclusion de l'adresse ne crée pas un droit sur tous les services qu'elle expose.

Le périmètre doit aussi préciser le point de départ : Internet, réseau interne isolé, poste fourni ou comptes associés à des rôles fictifs. Il indique les environnements autorisés et les différences connues entre préproduction et production. Une découverte située hors frontière est consignée sans exploration supplémentaire. L'équipe applique alors la procédure d'arrêt et demande une extension écrite si le commanditaire souhaite l'étudier.

Une extension n'est pas une simple note orale. Elle doit conserver la même traçabilité que le mandat initial : actif ajouté, propriétaire vérifié, méthodes permises, dates, risques et approbateurs. Cette discipline évite qu'une curiosité technique devienne un dépassement de mandat.

L'autorisation établit le droit d'intervenir et le périmètre fixe les frontières. Les règles d'engagement précisent les modalités opérationnelles à l'intérieur de ces frontières. Elles indiquent les dates, horaires, fuseaux, adresses sources, comptes, moyens de communication, contacts d'urgence et délais de réponse. Elles listent les méthodes admises, interdites ou soumises à accord préalable.

Les règles traitent particulièrement la disponibilité : limites de débit, interdiction des dénis de service, précautions sur les traitements longs, sauvegardes attendues et seuils d'arrêt. Elles couvrent les fonctions irréversibles, les courriels, les notifications, les paiements, les équipements physiques et les interactions humaines. Si une preuve peut être obtenue sans modifier une donnée réelle, la voie la moins intrusive doit être choisie.

Le NIST SP 800-115 structure l'évaluation autour de la planification, de l'exécution et des activités postérieures au test. Son approche rappelle que la logistique, les contraintes, la protection des données et les procédures d'incident font partie du test, même si ce guide américain ne détermine pas le droit français.

Les règles indiquent enfin qui peut suspendre la mission, comment signaler un incident réel, comment distinguer le trafic du test et comment reprendre après un arrêt. Elles doivent être connues des intervenants, pas seulement archivées dans un contrat que personne ne consulte pendant l'évaluation.

Le Code pénal ne fournit pas un modèle de contrat de pentest. Il décrit toutefois des comportements auxquels une mission mal cadrée peut se confronter. L'article 323-1 concerne notamment l'accès ou le maintien frauduleux. L'article 323-3 du Code pénal vise notamment l'introduction, l'extraction, la détention, la reproduction, la transmission, la suppression ou la modification frauduleuse de données dans un système.

Ces textes expliquent pourquoi le mandat doit couvrir non seulement la cible, mais aussi les catégories d'actions et de preuves. Un accès initialement autorisé ne signifie pas que toute extraction, modification ou conservation devient permise. Un compte de test destiné à un parcours client n'accorde pas automatiquement un droit sur l'administration, les autres locataires ou les données réelles rencontrées par hasard.

Le testeur doit pouvoir relier chaque action sensible à l'objectif, au périmètre et à une règle d'engagement. En cas d'incertitude, il s'arrête, conserve une note minimale et contacte l'interlocuteur prévu. Il ne cherche pas à clarifier la limite en poursuivant techniquement.

Cette présentation reste volontairement prudente : la notion de fraude, l'intention, les responsabilités contractuelles et la compétence territoriale s'apprécient selon les faits. Pour une mission transfrontalière, un secteur réglementé ou une chaîne de sous-traitance complexe, une analyse juridique adaptée est nécessaire avant le démarrage.

Une preuve de pentest peut contenir un nom, une adresse, un identifiant, un journal, un jeton, une capture d'écran ou un document lié à une personne. Dès que des données personnelles apparaissent, le commanditaire et le prestataire doivent déterminer leurs rôles, la finalité, les instructions, les mesures de sécurité, la durée de conservation et les destinataires. Le contrat de pentest ne remplace pas automatiquement les obligations applicables au traitement.

L'article 5 du RGPD dans le texte officiel EUR-Lex pose notamment les principes de finalité, de minimisation, d'exactitude, de limitation de conservation, d'intégrité et de confidentialité. Pour la preuve, la minimisation consiste à conserver ce qui démontre le constat, pas tout ce qui était techniquement accessible. Une référence fictive, un extrait expurgé ou une capture masquée peut suffire.

Il faut préparer ce traitement avant le test : données synthétiques lorsque c'est possible, comptes dédiés, masque appliqué dès la collecte, stockage chiffré, accès nominatif, canal de transmission convenu, journal des remises et destruction contrôlée. Les secrets doivent être retirés ou placés dans une annexe plus protégée.

Si des données inattendues apparaissent, la bonne réaction n'est pas de continuer pour mesurer le volume. Le testeur arrête l'action, protège la preuve minimale, signale l'événement et suit la décision autorisée. Un éventuel incident de données personnelles suit le processus dédié de l'organisation, distinct du simple suivi d'un constat technique.

Un dossier de mission cohérent peut regrouper la convention, l'autorisation, l'inventaire du périmètre, les règles d'engagement, les contacts, les comptes fournis, la classification des preuves et le plan de restitution. Chaque document possède une version, une date, un approbateur et une règle de modification. Le testeur confirme au démarrage que les accès, les cibles et les horaires correspondent aux documents.

Les référentiels de qualification PASSI de l'ANSSI constituent une référence institutionnelle utile pour comprendre les exigences associées aux prestations qualifiées et la place du test d'intrusion parmi plusieurs activités d'audit. Leur application exacte dépend du contexte contractuel et réglementaire de la mission.

La traçabilité ne signifie pas collecter sans limite. Les notes relient une action à un objectif, une cible, un compte, une heure et un constat, tout en masquant les données inutiles. Le rapport décrit aussi les exclusions, interruptions, composants indisponibles et hypothèses. Il ne transforme pas une évaluation ponctuelle en garantie générale.

Avant le lancement, une réunion de validation doit produire un résultat observable : chaque actif a un statut inclus, exclu ou en attente ; chaque méthode sensible possède une décision ; chaque tiers a une preuve d'accord ou une exclusion ; chaque personne connaît le canal d'arrêt. Une ambiguïté non résolue reste une limite, pas une permission implicite.

Travaille uniquement dans un document local. N'envoie aucune requête et ne choisis aucune cible réelle. Une association fictive prépare un test du portail adhesion.exemple.test, nom réservé à l'exercice. Le portail est hébergé par un tiers, utilise un service de paiement externe et contient des fiches synthétiques.

Crée un tableau avec les colonnes élément, décision, preuve d'autorité, limite, contact et statut. Ajoute au minimum : portail, API, hébergeur, service de paiement, comptes de test, données personnelles, horaires, déni de service, notifications et conservation des preuves. Classe chaque ligne comme incluse, exclue ou à clarifier. Rédige ensuite une autorisation synthétique, un périmètre et dix règles d'engagement. N'invente aucun accord de tiers : place l'actif en attente ou hors périmètre.

Ajoute une procédure en quatre étapes pour la découverte fortuite d'une donnée personnelle : arrêter, minimiser, protéger, signaler. Termine par trois questions destinées à une validation juridique professionnelle, notamment sur l'habilitation du signataire, la juridiction et les obligations liées aux données.

Critère observable

L'exercice est réussi si chaque actif et chaque méthode possède un statut explicite, si le paiement reste exclu sans accord propre, si une condition d'arrêt et deux contacts sont définis, et si la preuve personnelle est limitée à une donnée synthétique ou expurgée.

Erreurs et limites

Ne confonds pas propriété d'un nom de domaine et autorité sur tous les services liés. Ne transforme pas une règle d'engagement en extension de périmètre. Ne cite pas le Code pénal comme une autorisation. Ce dossier fictif entraîne au cadrage, mais ne remplace ni une convention complète, ni l'analyse d'un professionnel du droit, ni les procédures internes d'une organisation réelle.