Y compris par « pas regardé ». Surtout par « pas regardé ». C'est la grille qu'on applique à chaque diagnostic, publiée telle quelle. Ce n'est pas elle qui vous protège : ce qui compte, c'est la preuve derrière chaque réponse, fichier et ligne, et le nom qui reste après.
Vérifié, constat, ou « pas regardé ». Jamais « probablement ». Ce qu'on ne peut pas prouver est une question au propriétaire, pas un constat.
En survol, on pose la question et on cherche la réponse dans le code. En approfondi, on ne pose plus de questions, on mesure : chronométrage, plan d'exécution, ligne nommée.
La grille ne bouge pas. Ce qui change d'un diagnostic à l'autre, c'est le parcours qu'on suit de bout en bout pour trouver les preuves : l'argent ou la donnée qui compte le plus.
L'ASVS est le référentiel public de l'OWASP pour vérifier la sécurité d'une application, environ 350 exigences. 29 de nos 60 questions y renvoient : la référence est sous chaque question. Les 31 autres couvrent ce que l'ASVS ne regarde pas, parce que ça casse sans attaquant : sauvegardes, coûts, tests, déploiement, qui détient les comptes, qui sait relancer, et ce qui rend un code lisible, reprenable et rapide. L'OWASP ne certifie personne ; ce qu'on signe, c'est la preuve derrière chaque réponse.
Diagnostic à 2 900 € HT, premiers constats sous 48 heures, rapport complet sous cinq jours ouvrés. Vingt minutes d'appel pour savoir si on peut vous aider.