Chapitre 1 — Fondements du Hacking Éthique

⏱ ~30 min autonome · ~45 min encadré

Avant de toucher à un seul outil, il faut comprendre ce qui distingue un hacker éthique d'un pirate informatique, et surtout ce qui rend une intrusion « éthique » : jamais la technique, toujours l'autorisation. Ce chapitre pose le vocabulaire, la classification des acteurs, et le cadre légal qui encadre toute la suite du cours.

Distinguer un hacker éthique d'un pirate malveillant à partir du seul critère qui les sépare réellement.
Identifier les différents types de hackers et leurs motivations.
Appliquer les trois éléments d'un cadre légal de test d'intrusion (autorisation, portée, règles d'engagement) à une mise en situation.
Analyser un scénario de dépassement de portée et déterminer la conduite déontologique appropriée.

Qu'est-ce que le hacking éthique

Le hacking éthique consiste à employer les mêmes outils, techniques et façons de penser qu'un attaquant malveillant, mais dans un but défensif et avec l'accord explicite du propriétaire du système. La comparaison la plus parlante est celle des enquêteurs qui infiltrent le crime organisé : pour comprendre et contrer un adversaire, il faut parfois emprunter ses méthodes. La différence ne se situe jamais dans les outils utilisés — elle se situe entièrement dans l'autorisation, l'intention et le cadre qui entourent l'action.

Mémorisez ! Un hacker éthique et un pirate malveillant (souvent appelé cracker dans la littérature spécialisée) peuvent utiliser exactement les mêmes techniques. Le seul critère qui distingue les deux est le consentement écrit, préalable et explicite du propriétaire du système testé. Sans ce consentement, l'intention la plus noble ne protège de rien — ni légalement, ni éthiquement.

Concrètement, un hacker éthique est engagé par un client pour découvrir des failles de sécurité avant qu'un attaquant réel ne les trouve. Il ne travaille jamais « à l'aveugle » : chaque action s'inscrit dans un accord documenté, négocié avant le début du test (voir la section sur le cadre légal ci-dessous). Un point souvent mal compris : le rôle du hacker éthique s'arrête à la découverte des failles — corriger ces failles est un métier distinct (architecte sécurité, administrateur système). Savoir comment une serrure peut être crochetée ne fait pas de vous un serrurier.

Les types de hackers

La communauté de la sécurité classe traditionnellement les acteurs selon une métaphore de « chapeaux » (hats), puis affine cette classification selon la motivation.

Catégorie	Définition
White hat (chapeau blanc)	Hacker éthique. Utilise ses compétences avec autorisation, à des fins défensives. N'agit jamais sans le consentement du propriétaire.
Black hat (chapeau noir)	Pirate malveillant (« cracker »). Utilise ses compétences illégalement, pour un gain personnel ou pour nuire — vol de données, sabotage, déni d'accès.
Grey hat (chapeau gris)	Catégorie floue : agit sans autorisation, mais sans intention malveillante manifeste — par curiosité, ou en estimant que révéler une faille sert l'intérêt public. Cela reste, dans la quasi-totalité des juridictions, une activité illégale.

Scénario : Une personne découvre une faille sur le site d'une entreprise en testant des requêtes par curiosité, sans autorisation, puis contacte l'entreprise pour l'en informer. Bonne intention, mais techniquement une intrusion non autorisée — un chapeau gris typique. Beaucoup de professionnels de la sécurité ont commencé ainsi ; certains se sont retrouvés devant un tribunal plutôt qu'embauchés. La différence entre les deux issues : l'autorisation obtenue avant d'agir, pas après.

Au-delà des trois chapeaux, la littérature distingue des profils selon leur motivation — utile pour comprendre à qui l'on a affaire quand on analyse une menace (voir aussi le panorama des menaces plus loin dans ce chapitre) :

Script kiddie : peu de compétences techniques, réutilise des outils et scripts tout faits sans en comprendre le fonctionnement interne.
Hacktiviste : motivé par une cause politique, agit souvent par défiguration de sites web ou déni de service pour attirer l'attention sur sa cause.
Cyberterroriste : motivé par des convictions religieuses ou politiques, cherche explicitement à provoquer la peur — à distinguer de l'hacktiviste, qui cherche à faire un point plutôt qu'à terroriser.
Acteur étatique (state-sponsored) : employé ou mandaté par un État pour mener des opérations, généralement contre d'autres États ou leurs intérêts.
Initié malveillant (insider) : employé ou contractant de confiance qui abuse de ses accès légitimes. Particulièrement difficile à détecter, puisque les accès sont déjà autorisés.
Espion industriel : agit dans un but d'espionnage économique ou concurrentiel.
Syndicat criminel / groupe organisé : motivation purement financière, souvent structuré comme une organisation criminelle classique (ransomware-as-a-service, revente d'accès, etc.).
Hacker suicide : accepte sciemment le risque d'être arrêté ou pire, estimant que l'objectif prime sur les conséquences personnelles.

Rôle du hacker éthique dans une organisation

Un hacker éthique agit rarement seul et au hasard. Il suit une méthodologie structurée et documente systématiquement chaque étape — captures d'écran, journaux, preuves de concept — en vue du rapport final. C'est ce qui distingue fondamentalement un testeur d'intrusion professionnel d'un attaquant opportuniste : là où l'attaquant s'arrête dès qu'il a atteint son objectif, le testeur documente l'ensemble de la surface explorée, y compris les chemins qui n'ont pas abouti, parce que c'est cette exhaustivité que le client paie.

Sur le terrain

Un testeur d'intrusion ne corrige jamais lui-même les failles qu'il découvre — ce n'est pas son mandat, et cela créerait un conflit d'intérêt (qui vérifierait son propre correctif ?). Son livrable est un rapport d'observations et de recommandations ; l'implémentation des correctifs revient aux équipes internes ou à des architectes sécurité.

Cadre légal et éthique

Ce qui sépare légalement un hacker éthique d'un criminel n'est jamais implicite. Avant toute action, un accord formel est négocié et documenté, généralement composé de trois éléments :

Autorisation écrite : un document signé par une personne habilitée du côté client, accordant explicitement la permission de mener le test. Sans cette autorisation, une intrusion — même motivée par les meilleures intentions — reste un accès non autorisé à un système informatique, une infraction dans la quasi-totalité des juridictions.
Portée (scope) : définit précisément quels systèmes, réseaux ou applications peuvent être testés — et surtout, lesquels sont explicitement exclus. Un test qui déborde de la portée convenue, même par accident, expose le testeur à des poursuites.
Règles d'engagement : précisent les techniques autorisées (ex. : le client peut permettre le craquage de mots de passe mais interdire les attaques par déni de service), les plages horaires de test, et les personnes à contacter en cas d'incident réel détecté pendant le test.

À cela s'ajoute généralement une entente de confidentialité (NDA) : le client doit avoir la certitude que rien de ce qui sera découvert ne sera divulgué. Cette confidentialité protège autant le client que le testeur — c'est souvent la base légale qui permet au testeur d'agir sans risquer de poursuite pour les actions couvertes par la portée convenue.

Scénario : Un client autorise un test sur son site web public mais exclut explicitement son serveur de paie, jugé trop critique. En cours de test, le testeur découvre que ce même serveur de paie est accessible via une faille du site web autorisé. Que faire ? La bonne pratique : arrêter, documenter la découverte, et la signaler immédiatement au client — sans exploiter davantage un système hors périmètre, même si l'opportunité technique existe. La portée convenue prime toujours sur la curiosité technique.

Mémorisez ! Portée (scope), autorisation écrite et règles d'engagement forment le socle légal de tout test d'intrusion. Ces trois éléments sont négociés et signés avant le début de toute action technique — jamais après, jamais verbalement seulement.

Contexte québécois et canadien

Repère juridique : Au Canada, l'accès non autorisé à un ordinateur est explicitement couvert par l'article 342.1 du Code criminel (utilisation non autorisée d'ordinateur). Au Québec, la collecte et le traitement de renseignements personnels découverts pendant un test — même autorisé — reste encadrée par la Loi sur la protection des renseignements personnels dans le secteur privé (communément appelée « Loi 25 » depuis sa réforme). Un mandat de test d'intrusion bien rédigé doit donc couvrir non seulement l'autorisation d'accès, mais aussi la façon dont les données sensibles rencontrées pendant le test seront manipulées, stockées et éventuellement détruites.

Code de déontologie du testeur d'intrusion

Au-delà du cadre contractuel, un hacker éthique professionnel adhère à quelques principes de conduite, indépendants de tout client particulier :

Respecter strictement la portée convenue, même quand une opportunité technique se présente en dehors de celle-ci.
Ne causer aucun tort (« do no harm ») : un test ne doit jamais dégrader la disponibilité ou l'intégrité des systèmes du client au-delà de ce qui a été explicitement convenu.
Protéger la confidentialité des informations découvertes, pendant et après le mandat.
Documenter et rapporter honnêtement, y compris les résultats négatifs ou les limites du test — un rapport qui enjolive les résultats trahit la confiance du client.
Ne jamais exploiter une découverte à des fins personnelles, même après la fin du mandat.

Suite du chapitre → Méthodologie d'un test d'intrusion & panorama des menaces

Quiz — Fondements du Hacking Éthique

1. Qu'est-ce qui distingue fondamentalement un hacker éthique d'un pirate malveillant ?

Les outils utilisés Le niveau de compétence technique Le consentement écrit et préalable du propriétaire du système Le fait de travailler pour une grande entreprise

Les outils et techniques peuvent être identiques. Seule l'autorisation explicite, documentée avant l'action, distingue légalement et éthiquement les deux.

2. Une personne accède sans autorisation au système d'une entreprise pour lui signaler une faille, sans intention de nuire. Quel type de hacker cela décrit-il le mieux ?

White hat Grey hat Black hat Script kiddie

Sans autorisation préalable mais sans intention malveillante, il s'agit d'un chapeau gris — une zone légalement risquée malgré la bonne intention.

3. Quelle est la différence principale entre un hacktiviste et un cyberterroriste ?

Le cyberterroriste agit seul, l'hacktiviste en groupe L'hacktiviste est toujours un initié Ce sont des synonymes L'hacktiviste vise à faire un point politique ; le cyberterroriste vise explicitement à provoquer la peur

Les deux ont des motivations politiques ou idéologiques, mais l'objectif diffère : sensibiliser/protester versus terroriser.

4. Quel document accorde formellement la permission de mener un test d'intrusion ?

L'autorisation écrite signée par une personne habilitée Un accord verbal avec le service informatique Le CV du testeur Le rapport final du test précédent

Rien ne remplace une autorisation écrite et signée avant le début du test — c'est la seule protection légale du testeur.

5. Pendant un test, le testeur découvre un accès à un système explicitement exclu de la portée convenue. Que doit-il faire ?

Exploiter la faille pour prouver son importance Ignorer complètement la découverte Arrêter, documenter, et signaler immédiatement au client sans exploiter davantage Attendre la fin du test pour en parler

La portée convenue prime toujours. On documente et on informe rapidement, sans dépasser le périmètre autorisé.

6. Qui est responsable de corriger les failles découvertes lors d'un test d'intrusion ?

Le testeur d'intrusion lui-même Les équipes internes ou architectes sécurité du client L'auteur de l'outil utilisé pour la découverte Personne — c'est optionnel

Le mandat du testeur s'arrête à la découverte et au rapport ; la correction est un métier distinct, généralement assuré en interne.

7. Quel type d'acteur de menace est le plus difficile à détecter parce qu'il dispose déjà d'accès légitimes ?

Script kiddie Hacktiviste Cyberterroriste Initié malveillant (insider)

Un initié possède déjà des accès autorisés, ce qui rend son activité malveillante particulièrement difficile à distinguer d'une activité légitime.

8. Que couvre la « portée » (scope) d'un test d'intrusion ?

Les systèmes et réseaux qui peuvent être testés, et ceux explicitement exclus Le salaire du testeur La liste des outils commerciaux autorisés uniquement La durée de validité du rapport final

La portée délimite précisément le périmètre technique du test — un élément central des règles d'engagement.

9. Au Canada, l'accès non autorisé à un système informatique est couvert par quel texte de loi ?

La Loi 25 Le RGPD L'article 342.1 du Code criminel La Charte canadienne des droits et libertés

L'article 342.1 du Code criminel canadien couvre spécifiquement l'utilisation non autorisée d'un ordinateur. La Loi 25 concerne la protection des renseignements personnels au Québec — un enjeu distinct mais souvent connexe.

10. Un rapport de test d'intrusion enjolive les résultats pour satisfaire le client. Quel principe déontologique cela viole-t-il ?

Le respect de la portée Le devoir de documenter et rapporter honnêtement La confidentialité Le principe de ne causer aucun tort

Un rapport honnête, y compris ses limites et ses résultats négatifs, est un devoir déontologique central — le client doit pouvoir se fier entièrement au rapport reçu.