Pentester et article 323-1 : le mandat écrit, votre bouclier pénal

Le test d'intrusion repose sur une réalité juridique inconfortable : techniquement, ce que vous faites est identique à ce que fait un attaquant malveillant. Vous accédez à un système qui ne vous appartient pas, vous y maintenez une présence, vous extrayez des informations. La seule différence entre vous et un cybercriminel n'est pas technique : elle est contractuelle et documentaire.

L'article 323-1 du code pénal, issu de la loi Godfrain de 1988, est sans ambiguïté : « Le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données est puni de trois ans d'emprisonnement et de 100 000 euros d'amende. » Le mot clé est frauduleusement. C'est l'absence d'autorisation qui crée le caractère frauduleux, pas l'intention de nuire.

Autrement dit : un pentester de bonne foi, mandaté à l'oral, qui ne cause aucun dommage, reste pénalement exposé si l'autorisation n'a jamais été formalisée par écrit. Le juge ne demande pas « aviez-vous de mauvaises intentions ? » mais « pouviez-vous prouver l'autorisation ? ».

La jurisprudence française est constante sur un point : l'autorisation d'un test d'intrusion doit émaner d'une personne réellement habilitée à engager l'organisation cible. Un accord verbal d'un interlocuteur technique enthousiaste ne suffit pas si cette personne n'avait pas le pouvoir de donner accès aux systèmes.

Une autorisation valable réunit plusieurs éléments :

• L'identité du signataire et sa capacité à engager l'entreprise (DSI, RSSI, dirigeant, ou délégation écrite).
• La date et la durée de validité du mandat de test.
• Le périmètre technique précis : adresses IP, noms de domaine, comptes de test, exclusions explicites.
• Les modalités : techniques autorisées (déni de service, ingénierie sociale, exploitation), plages horaires, point de contact d'urgence.

Le document de référence du métier s'appelle souvent « Rules of Engagement » ou « lettre d'autorisation ». Dans le monde anglo-saxon, on le surnomme le get-out-of-jail-free card : c'est littéralement la pièce que vous brandissez si l'on vous accuse d'intrusion.

Le piège fréquent : tester un actif qui appartient à un tiers. Si votre client héberge son application chez un prestataire cloud, l'autorisation du client ne couvre pas toujours l'hébergeur. Sur les environnements AWS, Azure ou GCP, certains types de tests exigent une notification préalable au fournisseur. Sans elle, votre scan licite côté client peut violer les conditions d'un tiers.

Le périmètre du test, le scope, n'est pas un détail technique : c'est la ligne exacte qui sépare l'acte autorisé du délit. Tout ce qui sort du scope vous fait quitter la protection de votre mandat et vous renvoie sous le coup de l'article 323-1.

Les situations de débordement sont plus banales qu'on ne le croit :

• Une faute de frappe dans une adresse IP cible qui vous fait scanner le serveur d'une organisation voisine.
• Un pivot réseau qui vous mène, depuis une machine compromise dans le scope, vers un système connexe non mandaté.
• Une plage d'adresses partagée où votre cible légitime cohabite avec des actifs tiers sur la même infrastructure mutualisée.
• Un sous-domaine oublié dans le mandat mais découvert pendant la reconnaissance, que vous testez « par réflexe ».

Dans chacun de ces cas, vous avez accédé frauduleusement à un système non couvert. L'argument « je croyais que c'était dans le scope » n'efface pas l'infraction ; au mieux il pèse sur la peine. C'est précisément pourquoi un pentester rigoureux fige le scope par écrit, le fait valider, et journalise chacune de ses actions pour prouver qu'il est resté dans les clous.

Même avec un mandat parfait, le risque pénal ne disparaît jamais totalement. Trois scénarios continuent d'exposer le pentester :

1. L'autorisation contestée a posteriori. Un dirigeant change, un litige commercial éclate, et le client soutient soudain que le test « n'avait pas été autorisé à ce niveau ». Vous devez alors prouver la validité de votre mandat devant un juge.
2. La découverte fortuite de données sensibles. Pendant un test, vous tombez sur des données personnelles de clients finaux ou des informations couvertes par le secret. Leur simple consultation peut déclencher des poursuites distinctes.
3. L'ingénierie sociale et le red team. Le phishing simulé, l'usurpation d'identité ou l'intrusion physique mobilisent d'autres incriminations pénales que le seul article 323-1. Sans cadrage écrit ultra-précis, vous franchissez vite la ligne.

Face à une mise en cause, le coût n'est pas seulement la condamnation potentielle : c'est la défense elle-même. Honoraires d'avocat pénaliste, expertise technique, procédure qui s'étire sur des mois. C'est ce volet que couvre une assurance RC Pro dotée d'une garantie protection juridique et défense pénale dédiée à l'audit intrusion.

Si le test d'intrusion classique vous expose déjà, les missions de red team et d'ingénierie sociale multiplient les fronts pénaux. Ici, vous ne vous contentez plus d'attaquer un système : vous manipulez des humains, vous usurpez des identités, parfois vous tentez une intrusion physique dans les locaux.

Chacune de ces techniques mobilise des incriminations qui débordent largement l'article 323-1 :

• Le phishing simulé et l'usurpation d'identité peuvent relever de l'escroquerie ou de l'atteinte à l'identité numérique si le cadrage est flou.
• L'intrusion physique dans un bâtiment, même pour tester la sécurité, peut être qualifiée de violation de domicile professionnel sans autorisation explicite.
• La collecte d'informations sur les salariés via les réseaux sociaux touche à la protection des données personnelles.

La règle d'or : chaque technique de red team doit être nommée et autorisée dans le mandat. Une autorisation générale « tester notre sécurité » ne couvre pas un agent qui se fait passer pour un livreur pour pénétrer dans les locaux. Le périmètre humain et physique se déclare avec la même précision que le périmètre technique. C'est aussi pourquoi votre RC Pro doit explicitement mentionner ces scénarios : un contrat qui ne parle que de « tests d'intrusion informatique » peut refuser sa garantie sur un volet social engineering non déclaré.

Le pentester sérieux n'oppose pas le juridique et l'assurance : il les empile. Chaque couche couvre un angle que l'autre ne traite pas, et la solidité de l'ensemble tient à la plus faible d'entre elles.

Le réflexe gagnant : ne jamais lancer un scan sans avoir en main le mandat signé, et vérifier que votre contrat d'assurance mentionne explicitement les missions de test d'intrusion. Une RC Pro généraliste « informatique » exclut souvent les actes d'intrusion volontaire, considérés comme du dommage causé en connaissance de cause. Si vous manipulez ou traversez des données pendant vos tests, pensez aussi à coupler votre couverture avec une assurance cyber qui prend en charge la gestion d'incident. Pour comprendre la logique de couverture du métier, consultez notre page dédiée à l'assurance du pentester freelance.