Aperçu
À mesure que la place de marché cloud-native de Source2Sea dépassait le stade du MVP, la sécurité est devenue un enjeu critique pour l’entreprise. emagine a mené deux campagnes structurées de tests d’intrusion afin d’identifier les vulnérabilités, de valider les actions de remédiation et de renforcer la confiance sur les couches web, API et cloud.
Le défi
Source2Sea exploite une plateforme de place de marché cloud-native au service des acheteurs et des fournisseurs de la chaîne d’approvisionnement maritime. À mesure que la plateforme a évolué au-delà du MVP et gagné en complexité, la sécurité est devenue une priorité plus immédiate. Davantage d’utilisateurs, de flux de travail et de composants architecturaux signifiaient une exposition accrue au niveau de l’application, des API et de l’environnement cloud.
Une première évaluation de la sécurité avait déjà été réalisée au début du développement, mais Source2Sea avait désormais besoin d’un examen plus approfondi et plus structuré. L’entreprise souhaitait une vision plus claire des risques sur l’ensemble de la plateforme et une assurance renforcée que les contrôles clés fonctionnaient correctement en pratique. Cela incluait des tests sur la manière dont la plateforme gérait les différents rôles et parcours utilisateurs, sur le niveau de sécurité du comportement des API dans des scénarios authentifiés et non authentifiés, ainsi que sur la protection adéquate des composants cloud natifs.
L’authentification et l’autorisation étaient particulièrement importantes. La plateforme reposait sur des flux basés sur OAuth2 et prenait en charge plusieurs parcours utilisateurs pour les acheteurs, les fournisseurs et les parcours d’achat. Cela créait la nécessité de vérifier que les contrôles d’accès étaient robustes, que les autorisations étaient correctement appliquées et que les intégrations n’introduisaient pas d’exposition inutile.
Il existait également un défi pratique de mise en œuvre. Le travail de sécurité devait réduire les risques sans ralentir le développement produit. Source2Sea n’avait pas besoin d’un examen théorique ni d’un processus sur‑ingénieré. Il lui fallait des tests ciblés, une priorisation claire et des recommandations concrètes sur lesquelles l’équipe technique pouvait s’appuyer. L’entreprise souhaitait également confirmer qu’une fois les problèmes résolus, les actions de remédiation avaient réellement réduit le risque sous-jacent.
Cela rendait le défi plus vaste qu’un simple test d’intrusion ponctuel. Source2Sea avait besoin d’une approche de test capable d’accompagner l’évolution de son produit dans le temps — une approche qui améliore la visibilité sur les couches web, API et cloud, aide à hiérarchiser les vulnérabilités en fonction des risques réels pour l’entreprise, et offre un moyen plus reproductible de renforcer la maturité de la sécurité à mesure que la plateforme continue de monter en charge.
- Au-delà du MVP
Les exigences en matière de sécurité ont augmenté à mesure que la plateforme dépassait le stade de MVP et gagnait en complexité. - Deux environnements destinés aux utilisateurs
Les tests doivent prendre en compte les expériences des acheteurs et des fournisseurs, ainsi que les parcours d’achat. - Multiples couches de sécurité
L’examen a porté sur les applications web, les API et l’infrastructure cloud sous-jacente. - Deux priorités en même temps
Source2Sea devait réduire les risques de sécurité sans ralentir le développement continu de ses produits.
La solution
emagine a réalisé deux missions structurées de tests d’intrusion à un an d’intervalle, en s’appuyant sur une méthodologie reproductible conçue pour évaluer les risques, faciliter la remédiation et renforcer la maturité de la sécurité à long terme. Le travail a couvert les couches de sécurité les plus importantes de la plateforme — des applications web orientées utilisateur aux API, aux flux d’authentification et à l’infrastructure cloud-native.
Plutôt que de considérer les tests de sécurité comme un exercice isolé, emagine a travaillé en étroite collaboration avec l’équipe technique de Source2Sea tout au long du processus. Les résultats critiques ont été remontés rapidement, les recommandations de remédiation étaient claires et pragmatiques, et de nouveaux tests ont permis de confirmer que les mesures prises avaient bien résolu les problèmes identifiés.
Phase 1: Définir le périmètre du véritable risque lié à la plateforme
La première phase a consisté à définir un périmètre reflétant le fonctionnement réel de la plateforme. emagine a évalué la sécurité de l’application web pour les expériences des acheteurs, des fournisseurs et d’achat, en veillant à ce que l’analyse corresponde aux parcours utilisateurs réels qui comptent pour l’entreprise.
Les tests d’API ont également été réalisés pour des scénarios authentifiés et non authentifiés. Cela a permis de dresser un tableau plus complet du comportement des différents points d’accès et d’identifier les faiblesses susceptibles d’affecter la sécurité, les fonctionnalités ou la confiance. En se concentrant sur les schémas d’utilisation réels plutôt que sur des composants isolés, l’évaluation a pu hiérarchiser les résultats de manière plus pratique et plus pertinente sur le plan commercial.
Phase 2: Tester les contrôles critiques à travers les couches applicatives et cloud
La deuxième phase s’est concentrée sur les contrôles les plus essentiels à la sécurité de la plateforme. emagine a évalué les flux d’authentification et d’autorisation basés sur OAuth2 afin de vérifier que les accès étaient gérés de manière sécurisée pour les différents rôles utilisateurs et leurs interactions.
Parallèlement à cela, l’équipe a examiné l’architecture cloud-native hébergée sur Azure Kubernetes Service et a testé à la fois les composants du monolithe modulaire et ceux des microservices. Cette démarche a étendu l’évaluation au-delà de la couche d’interface pour inclure l’environnement sous-jacent qui prend en charge la plateforme. Le résultat a été une vision plus large de la surface d’exposition à travers l’ensemble de la pile applicative, plutôt qu’un examen restreint aux seules interactions front-end.
Phase 3: Signaler rapidement les problèmes et orienter leur résolution
Tout au long de la mission, emagine a travaillé en étroite collaboration avec l’équipe technique de Source2Sea afin de garantir que les conclusions puissent être mises en œuvre rapidement. Les problèmes critiques ont été remontés très tôt, permettant au client de réagir sans attendre le rapport final.
Fait important, les recommandations de remédiation ont été fournies de manière à être directement exploitables par les équipes techniques. L’objectif n’était pas de submerger les parties prenantes de détails, mais de donner des orientations claires sur ce qu’il fallait corriger, pourquoi c’était important et comment réduire concrètement le risque. Cela a permis de garder le travail centré sur l’amélioration plutôt que sur l’analyse seule.
Phase 4: Réaliser de nouveaux tests et mettre en place une approche de sécurité reproductible
La phase finale était axée sur la validation. emagine a de nouveau testé les vulnérabilités identifiées afin de confirmer l’efficacité des actions de remédiation. Cela a donné à Source2Sea une assurance renforcée que les problèmes n’avaient pas seulement été détectés, mais aussi correctement traités.
Réalisé au cours de deux missions espacées d’un an, ce travail a également permis de mettre en place une approche plus reproductible des tests de sécurité. Au lieu d’une analyse ponctuelle, Source2Sea a obtenu une structure pour évaluer les risques à mesure que la plateforme évoluait — soutenant ainsi la croissance future grâce à une meilleure visibilité, une priorisation plus claire et une confiance accrue dans la posture de sécurité de la plateforme au fil du temps.
Ce transfert de connaissances comptait autant que la livraison initiale. Il a réduit la dépendance, protégé la continuité et aidé Aris Global à conserver en interne à la fois la connaissance du produit et les nouvelles méthodes de travail améliorées.
Transformation timeline
Phase 1
Définir le périmètre du véritable risque lié à la plateforme
Phase 2
Tester les contrôles critiques à travers les couches applicatives et cloud
Phase 3
Signaler rapidement les problèmes et orienter leur résolution
Phase 4
Réaliser de nouveaux tests et mettre en place une approche de sécurité reproductible
Les résultats
Cette collaboration a amélioré la visibilité des risques liés à la plateforme et a offert à Source2Sea une approche de la sécurité plus solide et plus reproductible à mesure que le produit se développait.
Une visibilité plus claire sur l’ensemble de la plateforme
Source2Sea a obtenu une meilleure visibilité sur sa posture de sécurité à travers ses applications web, ses API et son infrastructure cloud. Cela a permis d’avoir une vision plus intégrée des risques sur l’ensemble de la plateforme, plutôt que des contrôles techniques isolés.
Risque priorisé en fonction de l’impact sur l’entreprise
La mission a permis d’identifier et de hiérarchiser les vulnérabilités en fonction des risques réels pour l’entreprise. Cela a facilité la tâche de Source2Sea pour concentrer ses efforts là où ils auraient le plus grand impact.
Remédiation validée, non supposée
Les nouveaux tests ont confirmé que les actions de remédiation avaient permis de traiter efficacement les problèmes identifiés. Cela a donné à l’équipe technique une assurance renforcée que les correctifs réduisaient effectivement les risques en pratique.
Une base plus solide pour la croissance future
Ce travail a renforcé la confiance dans l’authentification, l’autorisation et la sécurité de l’intégration, tout en établissant une approche de test reproductible pour accompagner la croissance de la plateforme dans le temps.