Pentest automatisé ou manuel : ce que chacun trouve, et ce qu’il laisse passer

Un test d’intrusion consiste à attaquer son propre système d’information, avec autorisation, pour découvrir ce qu’un vrai attaquant pourrait en faire. Pendant longtemps, la seule façon de le faire était d’appeler un cabinet spécialisé. Les plateformes de pentest automatisé changent la donne : une PME, ou son prestataire informatique, peut lancer un test quand elle le souhaite, sans attendre une mission planifiée des mois à l’avance. La question n’est donc plus « faut-il faire un pentest ? », mais « lequel, et pour trouver quoi ? ». Cet article compare ce que chaque approche détecte, ce qu’elle laisse passer, et la façon de les combiner sans gaspiller de budget.

Qu’appelle-t-on un pentest manuel ?

Un pentest manuel est conduit par un ou plusieurs consultants qui simulent une attaque pendant une période définie, généralement quelques jours. Ils utilisent des outils, mais c’est leur raisonnement qui fait la valeur de la mission : ils enchaînent des faiblesses qui, prises isolément, paraissent anodines, testent la logique métier d’une application ou exploitent une erreur humaine. Le livrable est un rapport qui décrit les failles trouvées, leur gravité et les corrections recommandées. En France, l’ANSSI qualifie certains prestataires d’audit sous le label PASSI, gage d’une méthode et d’une confidentialité contrôlées.

Qu’est-ce qu’un pentest automatisé, et en quoi diffère-t-il d’un simple scan ?

Un scanner de vulnérabilités dresse une liste de versions logicielles connues pour être vulnérables. Un pentest automatisé va plus loin : il suit une méthode de test d’intrusion, comme le standard PTES (Penetration Testing Execution Standard), qui enchaîne reconnaissance, découverte des services, recherche de vulnérabilités, vérification de leur exploitabilité et rapport. Il travaille sur la surface exposée à Internet, et sur le réseau interne lorsqu’un agent y est déployé. La différence pratique tient en deux points : le test peut être relancé à volonté, et ses résultats sont triés pour faire ressortir ce qui doit être corrigé en premier.

Que trouve un pentest automatisé mieux qu’un consultant ?

L’automatisation excelle sur l’exhaustif et le répétitif. Elle inventorie chaque adresse, chaque port ouvert et chaque service, sans se lasser au deux-centième serveur. Elle compare en continu ce qu’elle trouve aux catalogues publics de failles exploitées. Le catalogue KEV de l’agence américaine CISA recensait 1 767 vulnérabilités activement exploitées au 3 novembre 2026, dont 361 utilisées dans des campagnes de rançongiciel. Surtout, elle détecte ce qui change : un pare-feu reconfiguré, un serveur oublié remis en ligne, un correctif qui n’a pas été appliqué. Un consultant ne voit que l’état du système pendant les jours de sa mission.

Que laisse passer un pentest automatisé ?

Un outil ne comprend pas votre métier. Il ne sait pas qu’un comptable ne devrait pas pouvoir valider ses propres virements, ni qu’un identifiant de commande modifiable dans une adresse web donne accès aux factures d’un autre client. Ces failles de logique applicative échappent largement à l’automatisation. Il en va de même pour l’ingénierie sociale : un appel au support informatique pour réinitialiser un mot de passe reste l’affaire d’un humain. Enfin, un outil sérieux reste volontairement non destructif. Il s’arrête là où un attaquant forcerait, ce qui protège votre production mais limite la profondeur de certaines démonstrations.

Que laisse passer un pentest manuel ?

Le principal angle mort du pentest manuel est le temps. Une mission couvre un périmètre précis pendant une fenêtre courte, puis le rapport fige une photographie. Le lendemain, un salarié ouvre un nouveau port, un fournisseur publie une faille critique, et le rapport décrit déjà un système qui n’existe plus. Le second angle mort est budgétaire : à quelques jours de consultant par mission, une PME en commande rarement plus d’une par an, et doit choisir un périmètre restreint. Ce qui reste hors périmètre n’est tout simplement pas testé. Le troisième tient à la variabilité : la qualité dépend fortement du consultant affecté.

Les textes européens imposent-ils l’une ou l’autre méthode ?

Non. Le règlement d’exécution (UE) 2024/2690, qui précise les mesures de sécurité de la directive NIS2 pour les fournisseurs de services numériques, indique que les tests de sécurité « peuvent comprendre des tests automatisés ou manuels, des tests d’intrusion, des analyses de vulnérabilité » (considérant 15). Il exige surtout de déterminer la fréquence et le type de test à partir de l’analyse des risques, puis de consigner type, portée, date et résultats (annexe, point 6.5.2). En France, le référentiel ReCyF de l’ANSSI, encore en version de travail, recommande même des outils automatisés pour la revue annuelle de configuration des entités essentielles (moyen 18.4-EE).

Comment les deux approches se comparent-elles ?

Comment combiner les deux dans une PME ?

La combinaison la plus efficace consiste à confier le volume à l’automatisation et la créativité à l’humain. Le pentest automatisé tourne en continu sur le périmètre externe, le réseau interne et l’annuaire Active Directory. Il traite les failles connues, les mots de passe faibles et les configurations dangereuses, qui représentent l’essentiel des points d’entrée réellement utilisés. L’ANSSI rappelle dans son Panorama de la cybermenace 2025 que les équipements de bordure, comme les pare-feu et passerelles VPN, restent une cible très prisée en raison de leurs nombreuses vulnérabilités. Le consultant intervient ensuite, ponctuellement, sur ce que l’outil ne sait pas faire : une application métier critique, un scénario d’attaque ciblé.

Pourquoi l’automatisation change-t-elle la valeur du pentest manuel ?

Lorsqu’un consultant arrive sur un système déjà nettoyé de ses failles évidentes, il ne passe pas deux jours à relever des correctifs manquants et des services oubliés. Il consacre son temps, donc votre budget, aux attaques que seul un humain sait mener. Le rapport devient plus court, plus pertinent et plus utile. L’enjeu n’est pas anecdotique : l’ANSSI a traité 1 366 incidents en 2025, et les exfiltrations de données ont nettement progressé. Une PME a intérêt à fermer d’abord les portes que tout le monde peut voir, puis à payer un expert pour chercher celles qui sont cachées.

Par où commencer concrètement ?

Commencez par ce qu’un attaquant voit en premier : votre surface exposée sur Internet. Un test externe ne demande aucune installation et révèle souvent des services oubliés. Étendez ensuite au réseau interne et à l’Active Directory, qui est au cœur de la plupart des attaques par rançongiciel. Classez les résultats selon le risque réel, en croisant la gravité technique avec la probabilité d’exploitation, puis assignez chaque correction à un responsable avec une échéance. Relancez le test pour vérifier que la faille est bien fermée. Gardez enfin une trace de chaque campagne : c’est elle qui prouvera votre démarche le jour d’un contrôle ou d’un sinistre.

Questions fréquentes

Un pentest automatisé peut-il remplacer complètement un pentest manuel ?

Pour la majorité des PME, il couvre l’essentiel du besoin : failles connues, configurations dangereuses, mots de passe faibles et suivi des corrections dans le temps. Il ne remplace pas un consultant pour tester la logique d’une application métier, l’ingénierie sociale ou un scénario d’attaque très ciblé. Si votre activité repose sur une application développée en interne et exposée à vos clients, prévoyez un audit manuel de cette application en complément.

Un pentest automatisé risque-t-il de perturber la production ?

Un outil conçu pour la production utilise une détection non destructive : il vérifie qu’une faille est exploitable sans l’exploiter jusqu’au bout, et sans modifier vos données. Le risque n’est jamais strictement nul sur un équipement ancien ou fragile, c’est pourquoi il est recommandé de planifier les campagnes sur des créneaux maîtrisés et de prévenir votre infogérant lors du premier test.

À quelle fréquence faut-il tester ?

Le règlement européen 2024/2690 demande de fixer la fréquence selon l’analyse des risques, sans imposer de chiffre. En pratique, un test externe mensuel et un test interne trimestriel constituent un bon point de départ pour une PME, complétés par un test après chaque changement important d’infrastructure. Une nouvelle faille critique publiée sur un équipement que vous utilisez, un pare-feu ou une passerelle VPN par exemple, justifie aussi un test immédiat pour vérifier votre exposition.

Que change le pentest automatisé pour un prestataire informatique ?

Pour une ESN, un infogérant ou un MSP, le pentest manuel reste une prestation ponctuelle, souvent sous-traitée, que les clients repoussent faute de budget. Le pentest automatisé en fait un service récurrent : le prestataire lance les campagnes chez chacun de ses clients, suit les corrections qu’il réalise lui-même et présente des rapports datés qui justifient son travail. Le sujet devient aussi une attente des clients : le référentiel ReCyF de l’ANSSI demande aux entités soumises à NIS2 de vérifier périodiquement que leurs prestataires informatiques respectent leurs obligations de sécurité (moyens 3.B.1 et 3.B.2). Un prestataire capable de prouver ce qu’il teste prend l’avantage.

Lancer votre premier test

Zoumio Security permet de lancer des tests d’intrusion externes et internes selon la méthode PTES, avec une détection non destructive et des résultats priorisés selon le risque réel d’exploitation. Les constats deviennent un plan d’action assigné et daté. Les prestataires informatiques pilotent les tests de tous leurs clients depuis une seule console, avec des données cloisonnées par client. Pour situer ces tests dans les obligations réglementaires, consultez notre article NIS2 impose-t-elle un test d’intrusion ?, puis découvrez Zoumio Security.

Demander une démonstration de 20 minutes

Sources

• Règlement d’exécution (UE) 2024/2690 de la Commission du 17 octobre 2024, considérant 15 et annexe, point 6.5 (EUR-Lex).
• ANSSI, Panorama de la cybermenace 2025, publié le 11 mars 2026 (cyber.gouv.fr).
• CISA, Known Exploited Vulnerabilities Catalog, version 2026.11.03 (cisa.gov).
• ANSSI, ReCyF – Référentiel Cyber France, version de travail 2.5 du 17 mars 2026, moyens 3.B.1, 3.B.2 et 18.4-EE (messervices.cyber.gouv.fr).
• Penetration Testing Execution Standard (pentest-standard.org).

Article rédigé par l’Équipe Zoumio, éditeur de la plateforme de pentest automatisé Zoumio Security, basé à Agen. Dernière mise à jour : novembre 2026.