Florian.
Audit applicatif passif pour données sensibles.
Je travaille comme un attaquant en phase de reconnaissance, sans franchir la ligne rouge. Mon but n'est pas de sortir un PDF générique : c'est de repérer ce qui est réellement exposé, de le prouver proprement, puis de vous remettre un plan de correction directement exploitable par votre équipe produit ou technique.
Repères
Ce que je fais concrètement
Lecture seule, point de vue attaquant
Je pars de la surface publique : sous-domaines, bundles JavaScript, routes d'API, parcours d'authentification, buckets, webhooks, docs techniques, back-offices exposés. Aucun accès serveur, aucun compte privilégié requis.
Des findings démontrables
Chaque faille retenue doit être reproductible, compréhensible et reliée à un impact métier. Si une hypothèse ne peut pas être vérifiée proprement, elle reste une hypothèse et je la traite comme telle.
Lecture technique et réglementaire
Les expositions ne sont pas seulement classées par gravité technique. Elles sont aussi replacées dans le contexte RGPD, HDS, DORA, PCI-DSS, ou face aux attentes de vos clients grands comptes.
Remédiation exploitable
Le livrable vise une correction rapide : ce qui est exposé, pourquoi c'est grave, par où commencer et comment présenter le risque à un CTO, un fondateur ou un client.
Ce qui nourrit la méthode
Les audits récents menés sur des plateformes de formation, des legaltechs, des portails métier ou des outils data reviennent toujours aux mêmes points faibles.
- Bundles JavaScript et source maps qui révèlent les parcours d'authentification, les rôles, les modèles de données ou les routes d'administration.
- Swagger, GraphQL et APIs documentées publiquement, très utiles pour reconstituer la logique métier.
- RLS absent ou incomplet sur Supabase/PostgreSQL, avec lecture, modification ou suppression possibles depuis des comptes à faibles droits.
- Webhooks n8n, Make ou internes exposés côté client, utilisables sans signature ni authentification sérieuse.
- Back-offices, IAM, outils d'analytique et d'exploitation accessibles publiquement alors qu'ils devraient être fortement segmentés.
À qui s'adresse CleanIssue
- PME et startups qui gèrent des données sensibles mais n'ont pas encore d'équipe sécurité structurée.
- CTO et fondateurs qui doivent objectiver un risque concret avant une remédiation, un audit client ou une levée de fonds.
- Équipes produit qui veulent un diagnostic rapide avant qu'une exposition de données ne tourne à l'incident.
- Secteurs où la preuve de diligence compte autant que la sécurité elle-même : healthtech, fintech, legaltech, SaaS, RH, formation.
Pages à lire ensuite
Méthodologie de la revue externe
Le détail de la méthode, des limites assumées et des livrables.
Audit complet
Le format le plus pertinent si vous avez besoin d'un plan de correction priorisé.
Audit passif vs pentest
Quand une PME doit commencer par l'observation plutôt que par l'intrusion.
CVE dangereux par écosystème
Le cluster technique qui relie les grandes familles de stacks aux failles les plus instructives.