Pentester sans mandat écrit : la frontière entre audit et délit pénal

Un pentester qui exploite une faille pour entrer dans le serveur d'une entreprise accomplit, techniquement, exactement le même geste qu'un attaquant malveillant. La signature des paquets réseau est identique, les logs aussi. Ce qui sépare l'audit rémunéré du délit ne se lit nulle part dans le trafic : il se lit dans un document signé en amont.

Le droit français ne connaît pas de "statut" protecteur du chercheur en sécurité qui agirait spontanément. L'article 323-1 du Code pénal punit le fait d'accéder ou de se maintenir frauduleusement dans un système de traitement automatisé de données. Le mot décisif est frauduleusement : ce qui retire le caractère frauduleux à votre intrusion, c'est l'autorisation préalable du responsable du système.

Autrement dit, votre légitimité n'est pas une qualité professionnelle. Elle est une permission, accordée par écrit, pour un périmètre donné, à un moment donné. Hors de ce cadre, vos compétences ne vous protègent pas — elles aggravent même la perception de l'intention.

Trois textes structurent le risque pénal du test d'intrusion :

• Article 323-1 : l'accès ou le maintien frauduleux dans un système, puni de 3 ans d'emprisonnement et 100 000 € d'amende ; les peines montent si des données sont supprimées ou modifiées.
• Article 323-2 : l'entrave ou l'altération du fonctionnement d'un système — typiquement, un test qui provoque un déni de service.
• Article 323-3 : l'introduction, la modification ou la suppression frauduleuse de données.

Dans chacun de ces textes, l'élément intentionnel est central. Un pentester mandaté n'a pas l'intention de nuire : il agit pour le compte du responsable du système. Mais cette absence d'intention frauduleuse doit pouvoir se prouver. Et la preuve, en cas de litige, ne sera ni votre bonne foi ni votre réputation : ce sera le mandat.

En sécurité offensive, on parle volontiers de "Get Out of Jail Free Card" : le document d'autorisation est moins un confort contractuel qu'une pièce de défense pénale.

Notez que la loi du 24 janvier 2023 a aménagé une protection pour le signalement de vulnérabilités de bonne foi auprès de l'ANSSI, mais elle ne légalise pas l'intrusion non autorisée : elle encadre la divulgation, pas l'acte technique.

Un mandat n'a de valeur protectrice que s'il est précis. Une simple ligne "vous êtes autorisé à tester notre sécurité" est dangereusement floue. Voici les mentions structurantes :

1. Le périmètre nominatif : adresses IP, noms de domaine, plages, applications, comptes de test. Tout ce qui n'est pas listé est hors périmètre.
2. Les techniques autorisées et exclues : tests de charge, ingénierie sociale, déni de service, exploitation post-intrusion, exfiltration de données réelles — chacune doit être explicitement permise ou interdite.
3. Les fenêtres temporelles : dates et heures précises, particulièrement si le système est en production.
4. Le signataire habilité : la personne qui signe doit avoir le pouvoir juridique d'autoriser, et être propriétaire ou responsable du système — point critique en hébergement mutualisé ou cloud tiers.
5. La gestion des données découvertes : conservation, chiffrement, destruction, interdiction de copie hors environnement maîtrisé.

Le point le plus piégeux est le quatrième. Si votre client héberge son application chez un fournisseur cloud, l'autorisation de votre client ne vaut pas autorisation du fournisseur : certains imposent leur propre procédure de déclaration de test. Tester sans cela, c'est intruder chez un tiers qui ne vous a rien signé.

Une confusion fréquente consiste à croire qu'une bonne assurance "couvre" l'absence de mandat. C'est faux, pour une raison de principe : aucune assurance de responsabilité ne couvre une faute pénale intentionnelle. L'article L.113-1 du Code des assurances exclut la faute intentionnelle ou dolosive de l'assuré. Une intrusion non autorisée, même avec une intention louable, expose à une qualification dont l'assureur peut se prévaloir pour refuser sa garantie.

L'assurance intervient dans l'espace inverse : celui où vous avez fait les choses correctement et où un dommage survient quand même. Votre RC Professionnelle répond lorsqu'un test mené dans le périmètre mandaté cause un préjudice involontaire au client — une indisponibilité, une perte de données, une erreur d'appréciation. La protection juridique professionnelle prend en charge votre défense si un tiers conteste après coup l'étendue de votre autorisation, alors même que vous disposiez d'un mandat valable.

Le bon réflexe : le mandat vous protège de la qualification pénale ; l'assurance vous protège des conséquences civiles d'un travail légitime. Les deux sont complémentaires, jamais substituables. Pour comprendre l'articulation des garanties d'un indépendant en sécurité offensive, consultez notre page assurance pentester.

Le hors-périmètre n'est presque jamais un acte de malveillance. Il naît de la dynamique même du test :

• Le rebond imprévu : vous compromettez une machine listée, et de là vous découvrez un accès vers un système non listé. Continuer, c'est sortir du mandat. La discipline impose de documenter et de demander une extension écrite avant d'avancer.
• L'environnement partagé : une adresse IP du périmètre héberge en réalité plusieurs clients du fournisseur. Votre test affecte des tiers que personne n'a mandatés.
• Le compte rebondi vers la production : un identifiant récupéré en environnement de recette fonctionne aussi en production, hors fenêtre autorisée. La tentation de "vérifier" est précisément ce que le mandat interdit.

Dans ces trois cas, la frontière n'est pas technique mais contractuelle. Le réflexe professionnel — s'arrêter, documenter, faire amender le mandat — est ce qui transforme un incident potentiellement pénal en une simple ligne du rapport.

Un pentester indépendant gagne à standardiser sa procédure d'engagement comme il standardise sa méthodologie technique. Concrètement :

1. Un modèle de règles d'engagement (rules of engagement) reprenant les cinq mentions, à faire signer avant tout accès.
2. Une vérification du pouvoir du signataire : statuts, délégation, qualité de responsable du traitement.
3. Une clause de notification d'incident précisant qui appeler et sous quel délai si un test provoque une anomalie.
4. Une attestation d'assurance jointe à la proposition commerciale, que les clients exigent quasi systématiquement avant de signer.

Cette rigueur a un double effet : elle écarte le risque pénal et elle rassure le client sur votre maturité. Dans un métier où l'on vend de la confiance en démontrant l'inverse, le sérieux du cadre contractuel fait partie de la prestation. L'assurance complète l'édifice en absorbant l'aléa qui subsiste malgré toute la discipline du monde.