// Article
Boîte noire, grise, blanche : comment je choisis la démarche d'un test d'intrusion
Un bon test d'intrusion commence avant le premier scan : par le choix de la démarche. Boîte noire, boîte grise et boîte blanche ne sont pas de simples étiquettes techniques : ce sont trois angles d'attaque différents, chacun avec ses forces, ses limites et son budget. Voici comment je tranche, mission après mission.
Boîte noire
La boîte noire simule un attaquant qui ne sait rien de vous : aucun accès, aucune documentation, seulement ce qui est visible publiquement (un nom de domaine, une IP, une adresse email). C'est l'angle le plus réaliste pour mesurer votre exposition telle qu'un adversaire extérieur la découvrirait.
Avantages
Elle montre exactement ce qu'un parfait inconnu peut exploiter depuis l'extérieur, sans raccourci ni connaissance préalable.
Limites
Sans accès au code ni à la configuration interne, certaines failles profondes restent invisibles, et le travail prend plus de temps : je dois d'abord cartographier ce que vous connaissez déjà de votre propre système.
Quand je la recommande
Pour des audits rapides et réguliers sur un périmètre à risque limité, ou quand le budget est serré et qu'il vous faut d'abord une photo de votre exposition externe.
Boîte grise
La boîte grise est un compromis assumé : je reçois un accès partiel, en général un ou deux comptes applicatifs, parfois un bout de documentation. Cela me place dans la position d'un attaquant qui a déjà un pied dans la porte, un compte compromis, un accès employé détourné, sans connaître pour autant tout le système.
Avantages
Le meilleur équilibre entre profondeur, temps et coût : je cible directement les zones à risque au lieu de passer du temps à les découvrir.
Limites
Moins exhaustive que la boîte blanche sur les failles internes, et elle suppose que je parte avec une longueur d'avance qu'un véritable attaquant externe n'aurait pas forcément.
Quand je la recommande
Mon choix par défaut pour auditer une application web dans un délai et un budget maîtrisés : c'est l'équilibre que je recommande le plus souvent.
Boîte blanche
La boîte blanche, c'est l'accès complet : code source, architecture, documentation, comptes. Le terme « test d'intrusion en boîte blanche » prête parfois à confusion ; je préfère parler d'audit de sécurité applicatif complet.
Avantages
La profondeur maximale : je peux remonter jusqu'à la logique métier, la gestion des secrets, des erreurs de conception invisibles depuis l'extérieur.
Limites
Exigeante en temps et en expertise, donc plus coûteuse : ce n'est pas un format à lancer à la légère sur un petit périmètre.
Quand je la recommande
Pour un audit de conformité, une vérification avant une mise en production critique, ou quand la sécurité du code compte autant que celle du périmètre.
Vue d'ensemble
| Critère | Boîte noire | Boîte grise | Boîte blanche |
|---|---|---|---|
| Connaissance préalable | Aucune : informations publiques uniquement. | Partielle : un ou deux comptes. | Complète : code, architecture, documentation. |
| Point fort | Réalisme maximal. | Équilibre profondeur / coût. | Analyse la plus profonde et exhaustive. |
| Limite principale | Plus lente, peut manquer des failles internes. | Suppose une connaissance de départ. | Chronophage et coûteuse. |
| Durée indicative | Quelques jours. | Environ une semaine. | Une semaine et plus. |
| Attaquant simulé | Externe, sans connaissance préalable. | Compte compromis ou accès interne détourné. | Audit complet du code / conformité. |
Ce qui ne change pas
Quel que soit le format choisi, la règle ne change pas : un périmètre défini par écrit, une autorisation signée, rien ne commence avant. Le bon choix n'est pas celui qui semble le plus complet sur le papier, c'est celui qui correspond à votre budget, à votre calendrier et à ce que vous cherchez vraiment à savoir.
← Voir ma méthodologie complète d'évaluation