OrdraFood
Logiciel de commande en ligne pour les restaurants.
Hébergé. Cadré. Autorisé.
Pentest Web et API autonome.
1 500 €, un crédit, un hôte. Le rapport arrive dans le dashboard en quelques heures, avec CVSS, CWE, impact, correctif et PoC.
Déroulement
L’hôte est gelé. Les agents chassent. Le dashboard est le rapport.
Une URL HTTPS. Le RoE est signé avant. L’hôte est gelé au lancement : Web et API de cet hôte seulement. Rien ne s’élargit.
run · northline-beige
extraitExemple
Le même dashboard qu’après avoir mis une URL en file.
Laboratoire Northline, autorisé. Mode deep. 15 findings en 33 minutes, 25 agents.
northline-beige.vercel.app
Mode deep · 33 minutes · 25 agents
15findings
- 3critical
- 3high
- 8medium
- 1low
- NL-01 · Injection de commande OS dans le paramètre host de /tools (RCE sans authentification)CVSS 9.8
- NL-02 · Contrefaçon de JWT via un secret HS256 en durCVSS 9.1
- NL-03 · XSS stocké dans les notes de shipmentCVSS 9.1
- NL-04 · /admin sans authentification expose l’annuaireCVSS 7.5
- NL-05 · XSS réfléchi sur /search et /previewCVSS 8.1
- NL-06 · Mass assignment de id sur PATCH /api/meCVSS 8.1
Validation
Pas seulement de la détection. Une exploitation démontrée.
On a pointé le pipeline hébergé sur un sous-ensemble des Argus Validation Benchmarks. Laboratoires Docker ouverts pour les agents de pentest. Chaque ligne ci-dessous est un finding écrit par le moteur : impact, preuve et PoC rejouable.
Findings Northline
33 minutes · mode deep
Critiques
sur le même run
Agents
validateurs et rapporteurs
Labs Argus exploités
sur 5 lancés
argus · apex subset
APEX-001-25
Next.js SSRF
Falsification de requête côté serveur
ExploitéPOST /api/fetch-url sans authentification a atteint un HTTP interne. PoC rejouable.
APEX-002-25
GraphQL nested injection
Injection GraphQL / NoSQL
ExploitéDes opérateurs MongoDB dans users(filter) ont exposé la secretNote admin. PoC rejouable.
APEX-003-25
JWT algorithm confusion
Contrefaçon de jeton RS256 vers HS256
ExploitéLa JWKS publique a servi de secret HMAC. JWT admin forgé. PoC rejouable.
APEX-004-25
MongoDB operator injection
Contournement d’authentification NoSQL
Exploité{"username":{"$ne":null},"password":{"$ne":null}} a émis un JWT admin. PoC rejouable.
APEX-006-25
Race condition double-spend
Course TOCTOU sur le portefeuille
ExploitéDes appels concurrents à /api/wallet/transfer ont mis l’émetteur à découvert et gonflé les crédits. PoC rejouable.
Le même pipeline hébergé qu’un run payé, mode quick. Un finding ici veut dire un impact démontré et un PoC rejouable, pas une étiquette de scanner. Argus est une suite ouverte de laboratoires Docker (Pensar, Apache-2.0), pas une application client. C’est un sous-ensemble de 5 labs sur 71, pas un classement de la suite entière.
Comparaison
Plus rapide et moins cher qu’un pentest. Plus profond qu’un scanner.
Un scanner déverse des hits qu’il faut encore reproduire. Un pentester senior reste le plafond : plus lent et plus cher. RootingLabs est le premier passage cadré au milieu. Ça ne remplace pas un humain.
Ce que vous recevez
Un rapport dans le dashboard : findings avec CVSS, CWE, impact, correctif et PoC rejouable.
Bugs d’autorisation
L’accès objet, l’auth manquante et l’escalade sont de premier plan, pas un après-coup.
Périmètre
Hôte gelé au lancement. Rien ne s’élargit en silence.
Quand l’utiliser
Premier passage cadré à 1 500 €. Pentest + Audit à 2 900 €. L’accompagnement est sur devis, au jour.
Offres
Le pentest tient en quelques heures. Les jours viennent après.
Pentest
Quelques heures1 500 €
Le run autonome tient en quelques heures. Le rapport est dans le dashboard.
- Application web, API REST et GraphQL
- Un hôte, gelé au lancement
- Chaînes d’exploitation en plusieurs étapes
- PoC rejouable sur chaque finding
- Pas d’étiquette sans preuve
- CVSS, CWE, impact et correctif
- Rapport PDF
- Un rôle d’authentification
Pour une demande client, un questionnaire, ou la validation annuelle. Le retest n’est pas dans cette offre.
Pentest + Audit
Retest inclus2 900 €
Le même pentest, en quelques heures. Puis deux jours avec vous, une fois le rapport livré.
- Tout le Pentest
- Deux rôles d’authentification
- Deux jours avec votre équipe
- Débrief avec le décideur ou le RSSI
- Priorisation et feuille de route
- Retest inclus quand vos correctifs sont en place
- High et Critical, fenêtre de 14 jours
- Rapport PDF
Le test ne dure pas des jours. Les deux jours viennent après, pour l’ordre des correctifs et le retest.
Accompagnement
Sur devisLe pentest est déjà livré. On reste plusieurs mois pendant que les correctifs entrent.
- Le pentest, en quelques heures
- Un bloc de 2, 4, 6 ou 8 jours
- Jours étalés sur les mois, pas d’un bloc
- Correctifs posés avec votre équipe
- Ce que le rapport a laissé ouvert
- Rapport PDF
On envoie un devis avant de commencer. La durée suit le travail, pas un forfait de scan.
Entre deux pentests
Entre deux pentests, ne restez pas aveugle.
Le pentest est la photo profonde. La surveillance continue est la vigie entre deux : votre code analysé en continu, les constats à côté de vos pentests.
Analyse de code
Gratuit
10 analyses par mois
Connectez GitHub et analysez votre code à la demande.
- Connexion GitHub en 1 clic
- Analyse de code (SAST) à la demande
- Constats dans le dashboard avec prompt de remédiation
- Jusqu’à 10 analyses par mois
Surveillance continue
299 € / mois
Sans engagement
Chaque push et chaque pull request analysés, automatiquement.
- Analyses de code illimitées
- Scan continu à chaque push et pull request
- Revue de pull request et triage
- Constats fusionnés avec vos pentests
- Isolé en Europe, votre code ne sort jamais du périmètre
Ils nous font confiance
Les sociétés avec qui on travaille.
Des équipes produit et des éditeurs SaaS nous confient la sécurité de leurs applications Web et API.
Bug bounty
Les rapports les plus critiques.
HackerOne et YesWeHack. Critiques et hautes seulement. Les noms de programmes ne sont pas affichés. Ce ne sont pas des runs du produit.
| Signalé | ID | Rapport | Plateforme | Prime | Statut |
|---|---|---|---|---|---|
| 2026-08-20 | #3957484 | Unauthenticated self-registration on iTicket bypasses SSO and exposes the employee directory | HackerOne | — | Résolu |
| 2026-09-11 | #4021703 | Unauthenticated sendMailToken returns the user record and the email verification secret | HackerOne | — | Résolu |
| 2026-07-23 | #16217-53 | Improper Access Control through a path suffix leads to access to unauthorized resources | YesWeHack | 2 000 € | Accepté |
Cette version
Web et API hébergés. Le reste ne se vend pas ici.
Périmètre figé
L’hôte est gelé au lancement. Il ne s’élargit pas en cours de run.
Agents autonomes
Le worker chasse le Web et l’API dans cet hôte. Vous suivez le graphe.
Rapport dans le dashboard
CVSS, CWE, impact, correctif, preuve, PoC. Export PDF.
Web et API seulement
REST et GraphQL dans cette version.
FAQ
Questions fréquentes
Offres, périmètre, et ce que cette version n’est pas. Le reste est sur la méthode.
Le pentest tient en quelques heures. Les jours viennent après.
Pentest · 1 500 € · Quelques heures
Le run autonome tient en quelques heures. Le rapport est dans le dashboard.
Pentest + Audit · 2 900 € · Retest inclus
Le même pentest, en quelques heures. Puis deux jours avec vous, une fois le rapport livré.
Accompagnement · Sur devis
Le pentest est déjà livré. On reste plusieurs mois pendant que les correctifs entrent.
Le pentest est à 1 500 € : le run autonome tient en quelques heures, sur une application web et ses API REST ou GraphQL. Le rapport, avec PoC, part dans le dashboard et en PDF. Le retest n’est pas dedans. Pentest + Audit est à 2 900 € : le même pentest, puis deux jours avec vous pour prioriser, écrire une feuille de route, débriefer le décideur ou le RSSI, et un retest High et Critical dans les 14 jours une fois vos correctifs en place. L’accompagnement vient après : 2, 4, 6 ou 8 jours étalés sur plusieurs mois pour poser les correctifs. On envoie un devis avant.
Un finding est une fiche écrite par le moteur, avec un impact démontré, un chemin de reproduction et un PoC rejouable. Les étiquettes de scanner sans preuve ne partent pas. Un timeout n’est pas une réfutation. Les observations restent de l’inventaire.
Un pentest Web et API autonome, hébergé, au périmètre figé. Vous mettez une URL en file dans le dashboard. L’hôte est gelé au lancement. Les agents chassent et écrivent les findings dans le rapport, en raisonnant sur des modèles de pointe. Il n’y a pas de CLI publique.
Le périmètre est figé au lancement. L’hôte de l’URL mise en file est la liste autorisée. Les agents ne doivent pas suivre les redirections hors périmètre. L’inventaire des hôtes hors périmètre n’est pas un finding et n’est pas poursuivi.
Le HTTP déjà récupéré dans le périmètre, y compris cookies, jetons et corps utiles aux tests d’authentification, est ce sur quoi l’agent raisonne. Le modèle n’ouvre aucune socket. L’inférence part vers Kimi K3 via Bedrock US ou l’API DeepSeek, et n’est pas limitée à l’Union européenne. Les findings sont écrits dans votre dashboard. Vous n’apportez pas de clé. DPA : /dpa.
Non. Le PDF public est le run hébergé terminé sur le laboratoire Northline autorisé (https://northline-beige.vercel.app) : 15 findings, mode deep, 33 minutes, 25 agents. Secrets et jetons vivants sont masqués.
Un scanner est bon marché, rapide et bruyant. Un pentester senior reste le plafond : plus lent et plus cher. Un bounty est continu et opportuniste, pas un premier passage. RootingLabs est au milieu : un passage Web et API cadré, plus rapide et moins cher qu’une mission humaine, avec un rapport actionnable. Ça ne remplace pas un pentester.
Non. On a lancé un sous-ensemble de 5 labs des Argus Validation Benchmarks (Pensar). Les cinq ont été exploités, avec une fiche et un PoC rejouable : SSRF Next.js, injection GraphQL/NoSQL, confusion d’algorithme JWT, injection d’opérateur MongoDB, et une course sur un portefeuille. Ce n’est pas un classement contre Apex, un humain, ou les 71 labs.
Lancez-le sur votre staging.
Un crédit, 1 500 €. Pentest + Audit et l’accompagnement se réservent. Staging isolé, RoE signé.