Limites légales et savoir où s'arrêter

Vous avez appris, chapitre après chapitre, une méthodologie complète de test d'intrusion. Plus les compétences grandissent, plus la tentation peut grandir aussi : aller « juste un peu plus loin », vérifier « juste une chose en plus », par curiosité ou par excès de zèle. Cette leçon rassemble les limites à ne jamais franchir, et pourquoi elles existent.

Retour sur le cadre légal, avec une compétence accrue

Au chapitre 1, vous avez appris les articles 323-1 à 323-3-1 du Code pénal. Ce cadre ne change pas avec votre niveau de compétence : au contraire, plus vos capacités techniques augmentent, plus la responsabilité qui les accompagne est grande. Un tribunal ne traitera pas différemment un professionnel expérimenté qui dépasse son périmètre et un débutant qui fait la même chose par maladresse : dans les deux cas, l'absence d'autorisation ou le dépassement du périmètre signé est le fait déterminant.

Les situations qui exigent de s'arrêter immédiatement

Cette dernière ligne mérite une attention particulière : un testeur n'est jamais seul sur un système en production. Il est déjà arrivé que des équipes de test découvrent, au cours d'une mission légitime, les traces d'une compromission bien réelle, menée par un tiers malveillant, sans aucun lien avec le test en cours. Savoir reconnaître cette situation et réagir correctement (alerte immédiate, pas de tentative de « nettoyer » soi-même sans coordination) fait partie des compétences avancées du métier.

Pourquoi la tentation de « dépasser » existe, et comment la canaliser

Plus on progresse techniquement, plus on identifie de pistes intéressantes, y compris hors périmètre. C'est humain, et ce n'est pas un problème en soi, tant que cette curiosité est canalisée correctement :

• Notez l'idée sans l'exécuter, dans une section « observations hors périmètre » de votre carnet ;
• Proposez-la au client comme une extension possible de périmètre pour une mission future, plutôt que de l'exécuter sans autorisation ;
• Pratiquez cette curiosité dans un cadre légal dédié : votre propre labo, les plateformes d'entraînement légales, ou un programme de bug bounty avec un règlement clair (rappel du chapitre 1) ;
• Rappelez-vous que la compétence se construit dans la durée : un professionnel reconnu l'est pour sa rigueur et sa fiabilité, pas pour avoir « trouvé le plus de choses possible » en dépassant son cadre.

La question de la « bonne cause »

Un raisonnement que l'on rencontre parfois : « si c'est pour une bonne cause (signaler une faille à une association, aider une organisation qui n'a pas les moyens de se faire auditer), c'est différent. » Ce raisonnement est dangereux et juridiquement faux : le motif ne change rien au caractère frauduleux de l'accès non autorisé, vu au chapitre 1. La bonne approche, dans ce genre de situation, reste la divulgation coordonnée sans action technique préalable non autorisée : contacter l'organisation par un canal officiel, lui signaler un doute ou une observation faite par des moyens légitimes (une configuration visible publiquement, par exemple), sans jamais tester activement ses systèmes sans son accord.

Les limites professionnelles, au-delà du strict cadre légal

Certaines limites relèvent de la déontologie plus que du droit strict, mais sont tout aussi importantes pour la crédibilité durable d'un professionnel :

• Ne jamais exagérer la gravité d'un constat pour impressionner un client ou justifier une prestation plus coûteuse ;
• Ne jamais garder pour soi une faille découverte dans le cadre d'une mission, même après la fin du contrat : elle appartient au client ;
• Ne jamais réutiliser, pour une autre mission, des informations ou des accès obtenus lors d'une mission précédente ;
• Refuser une mission dont le périmètre ou les conditions ne permettent pas un travail sérieux et éthique (par exemple, un périmètre si flou qu'il est impossible de définir ce qui est autorisé).

Un dernier mot sur l'aspect humain

Tout au long de ce cours, les rappels légaux et éthiques ont peut-être semblé répétitifs. C'est volontaire : dans ce métier, la compétence technique sans la discipline éthique n'a aucune valeur professionnelle, et peut même devenir dangereuse. Le véritable « apprenti white hat » n'est pas simplement celui qui sait scanner un réseau ou exploiter une faille en labo : c'est celui qui a intégré, en même temps que la technique, le réflexe de toujours vérifier son autorisation, son périmètre, et ses limites, avant d'agir.

À vous de jouer : réagir à trois dilemmes

Pour chacune de ces trois situations fictives, écrivez dans votre carnet la réaction appropriée, en une ou deux phrases : (1) En testant le réseau Verdelune, vous découvrez un service qui semble appartenir à un prestataire tiers du client, non mentionné dans le périmètre. (2) Pendant votre labo personnel sur une plateforme d'entraînement légale, vous remarquez par hasard, en lisant un forum, qu'un site associatif réel près de chez vous semble utiliser un logiciel très ancien, visible publiquement sur sa page d'accueil. (3) À la fin d'une mission réussie, un ami vous demande de l'aider à « juste vérifier » la sécurité du Wi-Fi de son voisin, qu'il trouve louche.

Vous avez désormais parcouru l'intégralité de la méthodologie du test d'intrusion. La dernière leçon de ce cours dresse le bilan du chemin accompli et ouvre la voie vers le dernier cours du parcours.