Pentest et article 323 du Code pénal : pourquoi le mandat écrit est votre seul rempart
Le même geste technique peut être un audit rémunéré ou un délit puni de cinq ans de prison. Tout dépend d'un document : le mandat. Décryptage juridique pour pentesters.
- Sans autorisation écrite préalable, accéder ou se maintenir dans un système est un délit (article 323-1 et suivants du Code pénal) : jusqu'à cinq ans de prison.
- Le mandat doit définir le périmètre exact (IP, domaines, comptes), la fenêtre temporelle, les actions interdites et l'identité du commanditaire habilité.
- Tester une cible hébergée chez un tiers (cloud, prestataire) sans son accord engage votre responsabilité même si le client a signé.
- Une RC Pro couvre la défense et les dommages dans le périmètre autorisé ; le hors-périmètre reste à votre charge.
Le paradoxe du pentester : un délit autorisé sur commande
Votre métier repose sur une singularité juridique unique en France : vous êtes payé pour commettre, sur autorisation, des actes que le Code pénal réprime sévèrement lorsqu'ils sont commis sans permission. L'article 323-1 du Code pénal punit de trois ans d'emprisonnement et 100 000 euros d'amende « le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données ». L'article 323-2 ajoute cinq ans pour l'entrave au fonctionnement, et l'article 323-3 vise la modification ou la suppression de données.
Le seul élément qui transforme votre scan Nmap, votre injection SQL ou votre exploitation de faille d'un délit en une prestation facturée, c'est l'autorisation préalable du responsable du système. Pas l'intention bienveillante, pas votre certification, pas votre réputation : un consentement documenté. En l'absence de ce consentement, le caractère « frauduleux » de l'accès est constitué, et votre bonne foi ne suffit pas à l'effacer.
C'est pourquoi le mandat de test d'intrusion — souvent appelé autorisation de test ou rules of engagement — n'est pas une formalité administrative. C'est la pièce qui sépare le consultant du black hat aux yeux d'un juge.
Ce que doit contenir une autorisation de test valable
Un courriel disant « vas-y, teste notre site » ne vous protège pas. L'autorisation doit être suffisamment précise pour démontrer le consentement éclairé du responsable. Les éléments indispensables :
- L'identité du signataire et son habilitation : la personne qui signe doit avoir le pouvoir d'engager l'entreprise propriétaire du système. Un chef de projet n'a pas toujours cette autorité.
- Le périmètre technique exact : plages d'adresses IP, noms de domaine, URL, comptes applicatifs, environnements (production, recette, préproduction). Tout ce qui n'est pas listé est implicitement interdit.
- La fenêtre temporelle : dates et heures autorisées. Un test lancé hors créneau sort de l'autorisation.
- Les actions exclues : déni de service, ingénierie sociale, exfiltration réelle de données, modification de données de production.
- La chaîne d'escalade : qui contacter en cas d'incident, et la procédure d'arrêt immédiat.
Règle d'or : si une cible ne figure pas explicitement dans le périmètre, considérez qu'elle est interdite. L'autorisation se lit de manière restrictive, jamais extensive.
Le piège du tiers hébergeur : le client ne peut pas tout autoriser
Voici l'erreur qui ruine des consultants pourtant prudents. Votre client vous autorise à tester son application. Mais cette application tourne sur un cloud public, derrière un CDN, ou s'appuie sur des API d'un prestataire tiers. Votre client n'a pas le pouvoir d'autoriser un test sur l'infrastructure d'autrui.
Un scan agressif d'une instance mutualisée peut affecter d'autres clients de l'hébergeur. Une attaque par force brute sur une passerelle de paiement viole les conditions du prestataire de paiement. Dans ces cas, vous accédez « frauduleusement » à un système dont votre commanditaire n'est pas responsable, et l'autorisation que vous détenez ne couvre pas ce périmètre.
Les grands fournisseurs cloud imposent souvent leurs propres procédures de déclaration de pentest. Avant toute mission, cartographiez où sont réellement hébergées les cibles et obtenez les autorisations complémentaires nécessaires. C'est exactement le type de litige sur le périmètre que votre assurance RC Pro peut prendre en charge en défense — à condition que vous soyez resté dans un cadre contractuel cohérent.
Périmètre autorisé contre hors-périmètre : la ligne qui décide de votre couverture
La distinction entre l'intérieur et l'extérieur du périmètre ne concerne pas seulement le droit pénal : elle conditionne aussi votre assurance. Un assureur couvre les conséquences d'une faute commise dans le cadre de la mission contractuelle. Une action menée hors du périmètre signé constitue une faute volontaire ou un acte non assuré, donc une exclusion classique.
| Situation | Couverture RC Pro |
|---|---|
| Crash de prod sur une cible listée au mandat | Dommages immatériels pris en charge |
| Test sur une IP voisine non listée | Hors périmètre : exclusion probable |
| Exploitation au-delà de l'heure autorisée | Hors fenêtre : couverture fragilisée |
| Social engineering non prévu au contrat | Action non mandatée : non couverte |
Conclusion pratique : la qualité de votre mandat n'est pas qu'un sujet juridique, c'est un déterminant direct de l'efficacité de votre assurance le jour d'un sinistre.
Construire une routine d'autorisation à l'épreuve d'un juge
Au-delà du document signé, adoptez une discipline de mission qui produit des preuves :
- Archivez le mandat signé avant toute action, jamais après. Une autorisation rétroactive n'a aucune valeur.
- Horodatez vos actions : conservez les logs de vos outils, les dates de début et de fin réelles. C'est votre alibi technique.
- Notez les sorties de cadre détectées : si vous découvrez une cible hors périmètre, documentez que vous avez arrêté et alerté le client.
- Re-confirmez par écrit toute extension de périmètre demandée à l'oral pendant la mission.
- Vérifiez l'habilitation du signataire au moindre doute sur sa capacité à engager l'entreprise.
Cette rigueur documentaire est aussi ce qui permet à votre assureur de vous défendre sereinement. Pour les missions touchant des données personnelles, pensez à compléter votre RC Pro par une garantie cyber qui couvre spécifiquement les frais de notification et la défense face à la CNIL. Le détail des risques propres à votre activité est consultable sur la page assurance consultant sécurité et tests d'intrusion.
Questions fréquentes
Non. En cas de litige, c'est à vous de prouver l'autorisation. Un accord oral est quasi impossible à démontrer et laisse le caractère frauduleux de l'accès apprécié à votre désavantage. Exigez toujours un écrit signé avant la première action technique.
Il autorise le test de son application, pas de l'infrastructure du fournisseur. Vous devez vérifier où sont réellement hébergées les cibles et obtenir les autorisations complémentaires exigées par l'hébergeur, sous peine d'engager votre responsabilité pénale et de sortir du périmètre assuré.
Arrêtez immédiatement, ne l'exploitez pas, et signalez-la par écrit au client. Documenter cet arrêt prouve votre bonne foi. Continuer l'exploitation transformerait la découverte en intrusion frauduleuse non couverte par votre assurance.
Non. Une action menée en dehors du périmètre contractuel signé constitue une exclusion. La RC Pro couvre les fautes commises dans le cadre de la mission autorisée, d'où l'importance capitale d'un mandat précis et restrictif.
Un périmètre flou peut engager la responsabilité du commanditaire, mais cela ne vous exonère pas pénalement. Le juge regarde d'abord si vous aviez l'autorisation pour la cible précise touchée. Mieux vaut sécuriser le cadre vous-même plutôt que de compter sur la responsabilité du client.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Sécurité des systèmes d'information et tests d'intrusion — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Sécurité des systèmes d'information et tests d'intrusion →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.