SVONTA
ENFR
Voyage Contact
  1. 01Web et logiciel
  2. 02Tests d’intrusion
  3. 03Primes aux bogues
  4. 04Sécurité réseau
  5. 05Infonuagique et DevOps
  6. 06Conseil en TI
  7. 07Produits SaaS
TLP:CLEAR Génie logiciel · Recherche en sécurité · Infonuagique Basée au Canada

Svonta est une entreprise canadienne de logiciels et de sécurité. Nous bâtissons des logiciels web, des réseaux et des plateformes infonuagiques. Puis nous les attaquons comme le ferait un véritable adversaire, pour que les points faibles soient trouvés et corrigés avant que quiconque ne les découvre.

Démarrer un projet

1 sur 7Développement web et génie logiciel

Des logiciels qui sortent, et qui durent.

Des applications web, des API et des outils internes conçus pour être lus, testés et transmis. Nous choisissons des technologies éprouvées là où la stabilité compte, et des outils plus pointus là où ils sont rentables.

  • Applications web et applications web progressives
  • API, intégrations et pipelines de données
  • Architecture front-end et systèmes de design
  • Modernisation de systèmes existants et migrations
  • Revue de code sécurisée et cycle de développement sécurisé
  • Accessibilité (WCAG 2.2) et performance

TechnologiesTypeScript · React · Next.js · Node.js · Python · Go · PostgreSQL

Le développement web en détail

2 sur 7Cybersécurité et tests d’intrusion

Nous l’attaquons avant que d’autres le fassent.

Des tests autorisés et encadrés de vos applications web, API, applications mobiles, comptes infonuagiques et réseaux. Chaque constat est accompagné d’une preuve, de son impact d’affaires en langage clair et d’un correctif que votre équipe peut livrer.

  • Tests d’applications web, d’API et mobiles
  • Tests de réseau externes et internes
  • Revues de configuration infonuagique
  • Simulations d’hameçonnage, sur entente
  • Exercices d’équipe rouge alignés sur MITRE ATT&CK
  • Nouveaux tests une fois les correctifs en place

MéthodesOWASP WSTG et ASVS · PTES · MITRE ATT&CK · cotation CVSS

Les tests d’intrusion en détail

3 sur 7Primes aux bogues et recherche de vulnérabilités

Trouver ce que les outils automatisés ratent.

De la recherche manuelle sur les failles que l’automatisation survole : logique d’affaires défaillante, failles d’authentification, situations de concurrence, et enchaînements de petits problèmes qui finissent par mener à une brèche. Nous pouvons aussi vous aider à mettre en place votre propre programme de divulgation.

  • Recherche manuelle de vulnérabilités
  • Programmes de divulgation des vulnérabilités et security.txt
  • Conception et tri de programmes de primes aux bogues
  • Cotation de la gravité avec CVSS
  • Divulgation coordonnée avec les fournisseurs
  • Analyse des variantes après un constat

RègleNous testons uniquement les systèmes que nous sommes autorisés à tester.

La recherche de vulnérabilités en détail

4 sur 7Sécurité des réseaux et infrastructures

Moins de portes d’entrée. Moins de marge de manœuvre.

Des réseaux segmentés, un accès zéro confiance, des pare-feu renforcés et de la surveillance pour les bureaux, les centres de données et les environnements hybrides. Un portable compromis devrait rester un seul portable compromis.

  • Architecture et segmentation réseau
  • Accès zéro confiance et remplacement du RPV
  • Renforcement des pare-feu, commutateurs et Wi-Fi
  • Journalisation, SIEM et ingénierie de détection
  • Renforcement des postes et serveurs (CIS Benchmarks)
  • Préparation aux incidents et exercices sur table

En imageTrois segments, un pare-feu entre eux. Chaque ligne est un chemin que nous testerions.

La sécurité réseau en détail

5 sur 7Infonuagique et DevOps

L’infrastructure en code. Des déploiements sans histoire.

Des environnements AWS, Azure et Google Cloud définis en code, avec des pipelines qui compilent, testent, analysent et livrent à chaque fusion. Quand vos données doivent rester au Canada, nous concevons pour les régions canadiennes dès le premier jour.

  • Architecture et migration infonuagiques
  • Infrastructure en code (Terraform, OpenTofu)
  • Kubernetes et conteneurs
  • CI/CD avec analyses de sécurité intégrées
  • Observabilité, garde et maîtrise des coûts
  • Résidence des données au Canada

Régions canadiennesAWS Canada (Centre) et Canada Ouest · Azure Centre du Canada et Est du Canada · Google Cloud Montréal et Toronto

L’infonuagique et le DevOps en détail

6 sur 7Conseil en TI et solutions technologiques

La carte avant la dépense.

Des conseils indépendants sur ce qu’il faut bâtir, acheter, corriger ou retirer. Nous évaluons vos systèmes et vos risques, puis vous remettons une feuille de route avec des priorités, des coûts et un ordre de travail sensé.

  • Évaluations technologiques et de sécurité
  • Feuilles de route et revues d’architecture
  • Choix de fournisseurs et d’outils
  • Préparation SOC 2 et ISO/IEC 27001
  • Protection de la vie privée dès la conception pour la LPRPDE et la Loi 25 du Québec
  • CTO et CISO à temps partagé

Vous repartez avecUne feuille de route écrite : quoi faire d’abord, ce que ça coûte et ce que ça réduit.

Le conseil en TI en détail

7 sur 7Produits numériques et développement SaaS

Du premier croquis aux premiers clients payants.

Nous concevons, bâtissons et exploitons des produits SaaS de bout en bout : architecture multilocataire, connexion et rôles, facturation, analytique, et les revues de sécurité que vos clients d’entreprise exigeront.

  • Découverte de produit et prototypage
  • Architecture SaaS multilocataire
  • Authentification, SSO et rôles
  • Abonnements et facturation
  • Clients web et mobiles
  • Questionnaires de sécurité et préparation SOC 2

CouchesInterface, API et données, chacune testée comme un attaquant la testerait.

Le développement SaaS en détail

Notre façon de travailler

Nos règles d’engagement.

Tout test de sécurité commence par un document de règles d’engagement. Le nôtre couvre aussi notre façon de bâtir. Six clauses, écrites noir sur blanc pour que vous puissiez nous y tenir.

  1. §1

    La permission d’abord.

    Chaque test est autorisé par écrit, délimité et mené selon des règles signées par les deux parties. Aucune exception, aucune surprise.

  2. §2

    Des bâtisseurs qui brisent.

    Ceux qui testent vos logiciels savent comment on les bâtit. Ceux qui les bâtissent savent comment on les brise.

  3. §3

    Des correctifs, pas seulement des constats.

    Chaque problème vient avec une solution que votre équipe peut livrer. Ensuite, nous retestons, ou nous écrivons le correctif nous-mêmes.

  4. §4

    La sécurité dès le premier commit.

    La modélisation des menaces, l’analyse des dépendances et la revue de code se font dans le pipeline, bien avant le jour du lancement.

  5. §5

    Un langage clair.

    Les dirigeants voient le risque en termes d’affaires. Les ingénieurs obtiennent les étapes de reproduction exactes. Personne ne reçoit de jargon pour le plaisir.

  6. §6

    La vie privée fait partie de la conception.

    Nous concevons en fonction de la LPRPDE et de la Loi 25 du Québec, et nous pouvons garder vos systèmes et vos données dans des régions infonuagiques canadiennes.

La boucle

Cinq étapes, en boucle.

Un logiciel n’est jamais terminé, sa sécurité non plus. Chaque mandat suit cette boucle, et ce que nous apprenons en production alimente le tour suivant.

  1. Objectifs, contraintes et modèle de menaces. Nous apprenons comment votre entreprise gagne de l’argent, et comment elle pourrait en perdre.

  2. De petits incréments révisés, avec tests, infrastructure en code et contrôles de sécurité dans la CI.

  3. Des tests adverses de ce que nous avons bâti et de ce que vous exploitez déjà : tests d’intrusion manuels, cas d’abus, exercices de défaillance.

  4. Corriger, retester, documenter. Les constats deviennent des tâches au carnet, avec responsables et échéances.

  5. Surveillance, mises à jour et procédures d’exploitation. La production nous montre quoi examiner ensuite, et la boucle recommence.

Le Labo

Testez par vous-même.

Trois petits outils de notre côté de la table. Tout s’exécute dans votre navigateur et ne touche aucun vrai système.

Simulation · réseau fictif

Chemin d’intrusion

Jouez l’attaquant contre une petite entreprise typique. Choisissez un point d’entrée, puis progressez jusqu’à la base de données clients. Appliquez ensuite nos correctifs et réessayez.

Score de base CVSS v3.1

Calculateur de gravité

Cotez une vulnérabilité comme le ferait une équipe de tri. Partez d’un exemple ou réglez chaque métrique.

9.8Critique
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Shell · cette page seulement

Le terminal

Ouvrez un shell sur ce site. Demandez-lui de l’aide, transformez le champ, envoyez des sondes. Un drapeau est caché quelque part sur cette page. Trouvez-le et soumettez-le.

Collaborer

Quatre façons de commencer.

Bâtir avec nous

Pour
Nouveaux produits, plateformes et refontes.
Comment
Un court sprint de découverte, puis des phases de construction délimitées.
Vous obtenez
Un logiciel fonctionnel, le code, la documentation et une vraie passation.

Tester ce que vous avez

Pour
Les applications, réseaux et comptes infonuagiques que vous exploitez déjà.
Comment
Appel de cadrage, autorisation écrite, une période de test convenue.
Vous obtenez
Un rapport, une présentation à votre équipe et un nouveau test.

Nous garder en renfort

Pour
Les équipes sans spécialistes internes en sécurité ou en DevOps.
Comment
Une entente continue, adaptée à ce que vous exploitez.
Vous obtenez
Une équipe attitrée, des revues régulières et quelqu’un à appeler quand ça compte.

Lancer un programme de divulgation

Pour
Les entreprises prêtes à recevoir les signalements de chercheurs externes.
Comment
Politique, security.txt, portée et processus de tri.
Vous obtenez
Un programme de divulgation ou de primes aux bogues fonctionnel, et de l’aide pour le gérer.

FAQ

Les questions qu’on nous pose d’abord.

Faites-vous seulement des tests, ou pouvez-vous corriger ce que vous trouvez?

Les deux. Certains clients nous engagent pour bâtir et nous gardent pour tester; d’autres commencent par un test et nous demandent de corriger ce que nous avons trouvé. Nous pouvons remettre à votre équipe des étapes de correction claires, ou livrer les correctifs nous-mêmes.

Un test d’intrusion est-il sans risque en production?

Il peut l’être, avec la bonne portée. Avant le début des tests, nous convenons par écrit des cibles, du calendrier, des limites de débit et des conditions d’arrêt, et nous restons en contact avec votre équipe tout au long. Quand le risque est trop élevé, nous testons plutôt une copie de préproduction.

Vous faut-il une autorisation écrite avant de tester?

Oui, toujours. Nous testons uniquement les systèmes qui vous appartiennent ou que vous êtes autorisés à faire tester, selon une portée et des règles d’engagement signées.

Nos données peuvent-elles rester au Canada?

Oui. Lorsque vos obligations ou vos préférences l’exigent, nous concevons pour les régions infonuagiques canadiennes et y gardons les données et les sauvegardes.

Combien coûte un mandat?

Cela dépend de la portée. Après un court appel, nous envoyons une proposition écrite avec un prix fixe ou une estimation claire, et rien ne commence sans votre approbation.

Comment signaler une vulnérabilité dans vos systèmes?

Écrivez à contact@svonta.com en décrivant ce que vous avez trouvé et comment le reproduire. Nous accuserons réception du signalement et vous tiendrons au courant pendant la correction.

Contact

Dites-nous ce que vous bâtissez. Ou ce qui vous inquiète.

Quelques lignes suffisent pour commencer. Nous vous répondrons avec des questions ou un moment pour en parler.

Courriel contact@svonta.com

Basée au Canada

De quoi avez-vous besoin?

Rien n’est envoyé tant que vous ne choisissez pas de l’envoyer.