Boite noire, grise, blanche : laquelle choisir et pourquoi

Quand vous commandez un pentest, on vous demandera quel niveau d'information vous souhaitez fournir au pentesteur. Ce choix (boite noire, grise ou blanche) détermine ce que la mission pourra couvrir, à quelle profondeur, et quel type de risque elle simulera. Il n'y a pas de bonne réponse universelle.

Boite noire : la surface exposée vue de l'extérieur

En boite noire, le pentesteur ne reçoit rien d'autre que l'URL ou l'adresse IP cible. Pas de compte, pas de documentation, pas d'information sur la stack ou l'organisation. Il commence avec le même point de départ qu'un attaquant externe qui ne vous connaît pas.

L'avantage : c'est le scénario le plus fidèle à une attaque opportuniste externe : quelqu'un qui cible votre domaine parce qu'il l'a trouvé sur internet. Les vulnérabilités qui ressortent sont celles exploitables par n'importe qui, sans connaissance préalable.

La limite : sur une mission courte, une large part du temps passe en reconnaissance : cartographier les endpoints, comprendre l'architecture, identifier les surfaces d'attaque. Sur deux jours de pentest, c'est potentiellement une demi-journée consacrée à comprendre ce que vous auriez pu expliquer en 10 minutes.

Boite grise : le compromis le plus courant

En boite grise, le pentesteur reçoit quelques informations : un compte utilisateur standard (parfois plusieurs niveaux de droits), parfois un aperçu des technologies utilisées ou de l'architecture générale. Il ne voit pas le code, pas la base de données, pas les configurations serveur.

C'est l'approche la plus répandue parce qu'elle offre le meilleur rapport entre réalisme et profondeur de couverture. Elle simule un attaquant ayant fait ses recherches, ou un employé, un prestataire, un utilisateur légitime avec de mauvaises intentions.

En pratique, c'est aussi le niveau qui permet d'aller le plus loin dans un temps limité. On évite la phase de reconnaissance complète tout en gardant une perspective d'attaque réaliste.

Boite blanche : la profondeur avant tout

En boite blanche, le pentesteur a accès à tout : code source, documentation technique, architecture, parfois accès direct aux environnements de configuration. L'objectif n'est plus de simuler un attaquant externe : c'est d'analyser la sécurité du système en profondeur, de l'intérieur.

La boite blanche permet de trouver des vulnérabilités que les tests dynamiques rateraient systématiquement : logique d'autorisation défectueuse dans du code peu exécuté, secrets codés en dur dans des fichiers rarement exposés, dépendances avec des CVE critiques dans des composants internes non cartographiés depuis l'extérieur.

Elle est plus longue, plus exigeante, et demande une confiance dans la confidentialité des informations partagées. Elle est aussi la seule approche qui permet une revue de code de sécurité structurée.

Comment choisir selon votre situation

Une heuristique simple : si c'est le premier pentest de cette application, commencez par la boite grise. Si vous avez déjà un historique de tests et voulez aller plus loin, envisagez la boite blanche sur les composants les plus critiques. La boite noire a du sens en complément, pour valider votre exposition externe, mais rarement en première approche sur une mission courte.

La durée disponible compte aussi. Sur une mission d'une journée, la boite noire sera peu efficace. Sur une semaine ou plus, elle devient plus pertinente : le temps de reconnaissance s'amortit.

Il vaut mieux une boite grise bien couverte qu'une boite noire qui passe sa journée à deviner votre stack technique.

Le choix du niveau d'information n'est pas une décision technique uniquement, c'est aussi une décision sur ce que vous voulez apprendre de la mission. Simuler l'attaquant externe le plus réaliste possible, ou trouver le maximum de vulnérabilités dans le temps disponible ? Les deux objectifs sont légitimes. Ils méritent simplement des approches différentes.