Passer au contenu principal
Tenzai est un testeur d’intrusion IA qui attaque votre app publiée comme le ferait un vrai attaquant. Il rapporte ensuite ce qu’il a réussi à faire. Il complète l’analyse de sécurité de votre app : l’analyse vérifie votre code, et un test d’intrusion (pentest) vérifie la résistance de votre app en ligne face à de vraies attaques. Pour commencer, connectez Tenzai une fois pour votre workspace. Lancez ensuite un pentest depuis la page Security de votre app.
Une capture d'écran de la page Tenzai for Base44, qui propose des tests de sécurité continus pour vos apps Base44

Tenzai pour Base44

Vous avez besoin du plan Builder ou supérieur pour tester la sécurité de votre app avec Tenzai.

​
Fonctionnement

Vous lancez un pentest depuis Base44, et Tenzai l’exécute sur votre propre compte Tenzai. Base44 fournit à Tenzai un identifiant de test temporaire pour votre app. Tenzai peut ainsi tester vos pages publiques et les pages visibles après connexion. Vos propres identifiants ne sont jamais partagés. À la fin du test, vous recevez un e-mail et le rapport complet apparaît dans votre tableau de bord Tenzai. Les pentests sont facturés sur votre compte Tenzai et n’utilisent pas de crédits Base44.
Quand lancer un test :Un test ne couvre que la version de votre app publiée au moment où il s’exécute. Ce n’est donc pas une vérification unique. Lancez un test :
  • Avant de lancer votre app.
  • Après des changements importants, comme l’ajout de la connexion, des paiements ou de nouveaux rôles utilisateur.
  • Quand un client ou un audit le demande.

​
Étape 1 : connecter Tenzai

Connectez Tenzai une fois pour votre workspace. Une fois la connexion établie, les propriétaires et administrateurs du workspace peuvent lancer des pentests sur n’importe quelle app du workspace.
Avant de commencer :
  • Vous devez être propriétaire ou administrateur du workspace pour connecter Tenzai et lancer des pentests.
  • Vous avez besoin d’un compte Tenzai et d’une clé d’accès. Si vous n’en avez pas, vous pouvez vous inscrire pendant la connexion.
Pour connecter Tenzai :
  1. Cliquez sur le nom de votre workspace en bas à gauche de votre compte.
  2. Cliquez sur Settings.
  3. Sous Build tools dans la barre latérale gauche, cliquez sur Connectors.
  4. Sous Connectors For App Builders, trouvez Tenzai, puis cliquez sur Add.
  5. Effectuez l’une des actions suivantes :
Si vous avez déjà un compte Tenzai, utilisez la clé d’accès de votre compte Tenzai.
  1. Collez votre clé d’accès Tenzai dans le champ Access Key.
  2. Cliquez sur Connect.
Si vous n’avez pas encore de compte Tenzai, inscrivez-vous depuis la fenêtre Connect Tenzai. Tenzai crée une organisation Tenzai dédiée à votre workspace et vous fournit une clé d’accès. Votre lien d’invitation fonctionne une seule fois et expire automatiquement.
  1. Cliquez sur Click here to register. La page Tenzai for Base44 s’ouvre.
  2. Sous Accept your invitation, cliquez sur Continue securely.
  3. Sous Tell us about your organization, saisissez vos First name, Last name et Work email. Vous pouvez aussi ajouter un Company or team.
  4. Cochez la case I’m authorized to connect this workspace.
  5. Cliquez sur Create my Tenzai access.
  6. Sous Your Tenzai access token, cliquez sur Copy token. Tenzai n’affiche le jeton qu’une seule fois, copiez-le donc maintenant.
  7. Revenez à la fenêtre Connect Tenzai et collez le jeton dans le champ Access Key.
  8. Cliquez sur Connect.
Une capture d'écran de la fenêtre Connect Tenzai avec une clé d'accès collée dans le champ Access Key

Connecter votre workspace à Tenzai

Votre clé d’accès est stockée de façon chiffrée et ne s’affiche plus après l’enregistrement.

​
Étape 2 : lancer un pentest

Un pentest s’exécute sur la version actuellement publiée de votre app. Votre app doit avoir une analyse de sécurité à jour avant que vous puissiez en lancer un.
Un pentest envoie de vraies attaques à votre app publiée. Il s’exécute sur vos données de test, pas sur vos données de production. Il peut toutefois créer ou modifier des enregistrements de test. Évitez de publier des changements pendant le test, car le rapport ne les inclura pas.
Pour lancer un pentest :
  1. Cliquez sur Dashboard dans votre éditeur d’application.
  2. Cliquez sur Security.
  3. Si votre app a changé depuis la dernière analyse, cliquez sur Run Security Scan et attendez la fin.
  4. Sur la carte Tenzai penetration test, cliquez sur Run penetration test.
  5. Vérifiez les détails dans la boîte de dialogue Run pentest.
  6. Cochez la case I understand this test may create or change test data.
  7. Cliquez sur Run pentest.
Une capture d'écran de la fenêtre Run pentest avec la case de confirmation cochée et le bouton Run pentest prêt

Confirmer un test dans la fenêtre Run pentest

​
Étape 3 : examiner les résultats

Pendant un test, la carte Tenzai indique quand il a commencé, et Run penetration test devient Running…. Un test peut durer plusieurs heures. Vous recevez un e-mail quand il est terminé.
Une capture d'écran de la carte Tenzai penetration test indiquant l'heure de début du test et un statut Running

Un test Tenzai en cours

​
Ouvrir votre rapport

À la fin d’un test, Tenzai vous envoie le rapport complet par e-mail en pièce jointe PDF. Vous pouvez aussi l’ouvrir à tout moment depuis votre compte Tenzai. Pour ouvrir votre rapport :
  1. Cliquez sur Dashboard dans votre éditeur d’application.
  2. Cliquez sur Security.
  3. Sur la carte Tenzai penetration test, cliquez sur Go to Tenzai.
Une capture d'écran de la page Security de l'app avec le bouton Go to Tenzai encadré sur la carte Tenzai penetration test

Ouvrir votre compte Tenzai depuis la page Security

​
Lire le résumé

Le rapport commence par un résumé de ce que Tenzai a trouvé. Il indique un niveau de risque global et le nombre de parties de votre app testées. Il liste aussi chaque problème trié par gravité, de Critical à Low.
Une capture d'écran d'un résumé de rapport Tenzai indiquant un niveau de risque High, 10 problèmes, 44 endpoints testés et le tableau des problèmes

Le résumé au début d'un rapport Tenzai

​
Lire un problème

Chaque problème a sa propre section. Elle indique la gravité, les parties de votre app concernées et si le problème est toujours ouvert. Elle contient ensuite :
  • Impact : ce qu’un attaquant pourrait faire avec ce problème.
  • Chemin d’attaque et preuves : comment Tenzai a procédé, étape par étape, avec les requêtes envoyées comme preuve.
  • Correction : comment résoudre le problème.
Dans l’exemple ci-dessous, Tenzai a découvert que tout utilisateur connecté pouvait lire et modifier les voyages d’autres utilisateurs. Ce type de problème signifie généralement que les données de l’app ont besoin de règles d’autorisation. Chaque personne ne voit et ne modifie alors que ses propres enregistrements. En savoir plus sur la définition des autorisations de données.
Une capture d'écran d'un problème de gravité élevée dans un rapport Tenzai, avec sa classification, son score, les endpoints concernés et le statut Open

Un exemple de problème dans un rapport Tenzai

​
Corriger les problèmes

Traitez les problèmes du plus grave au moins grave, et refaites un test une fois les corrections faites.
Votre rapport montre exactement comment attaquer votre app. Gardez-le privé et ne le partagez qu’avec les personnes qui vous aident à corriger votre app.
Pour corriger ce que Tenzai trouve :
  1. Dans votre éditeur d’application, passez le chat IA en mode Discuss. Collez les sections Impact et Remediation du problème, et demandez à l’IA comment le corriger dans votre app.
  2. Passez en mode Build et demandez à l’IA d’effectuer la correction.
  3. Lancez une analyse de sécurité pour vérifier votre app.
  4. Publiez votre app, puis lancez un nouveau pentest pour confirmer que les problèmes sont corrigés.

​
Gérer la connexion

Les propriétaires et administrateurs du workspace peuvent mettre à jour ou supprimer la connexion Tenzai à tout moment.

​
Mettre à jour votre clé d’accès

Mettez à jour votre clé d’accès si vous en créez une nouvelle dans Tenzai, ou si Tenzai n’accepte plus celle que vous avez enregistrée. Pour mettre à jour votre clé d’accès Tenzai :
  1. Cliquez sur le nom de votre workspace en bas à gauche de votre compte.
  2. Cliquez sur Settings.
  3. Sous Build tools dans la barre latérale gauche, cliquez sur Connectors.
  4. Trouvez Tenzai, puis cliquez sur View.
  5. Dans le tableau Connections, cliquez sur Edit.
  6. Saisissez votre nouvelle clé d’accès.
  7. Cliquez sur Save Changes.

​
Supprimer la connexion

La suppression du connecteur arrête les pentests pour toutes les apps du workspace. Pour supprimer le connecteur Tenzai :
  1. Cliquez sur le nom de votre workspace en bas à gauche de votre compte.
  2. Cliquez sur Settings.
  3. Sous Build tools dans la barre latérale gauche, cliquez sur Connectors.
  4. Trouvez Tenzai, puis cliquez sur View.
  5. Dans le tableau Connections, cliquez sur Edit.
  6. Cliquez sur Delete Connector.
  7. Lisez le message de confirmation, puis cliquez sur Delete Connector pour confirmer.

​
FAQ

Cliquez sur une question ci-dessous pour en savoir plus sur les pentests avec Tenzai.
Le bouton Run penetration test n’est disponible que si toutes ces conditions sont remplies :
  • Vous êtes propriétaire ou administrateur du workspace. Les autres membres ne voient pas la carte Tenzai.
  • Votre app est publiée.
  • Votre app a une analyse de sécurité sur sa version actuelle.
  • Aucun autre pentest n’est déjà en cours pour l’app.
Les apps full-stack ne prennent pas en charge les pentests.
Si Tenzai n’accepte pas votre clé d’accès, ou si la clé n’est pas autorisée à lancer des analyses, vérifiez la clé et ses autorisations dans votre compte Tenzai. Ensuite, mettez à jour votre clé d’accès dans Base44.
Wiz ajoute des vérifications à votre analyse de sécurité en examinant les dépendances et le code de votre app. Tenzai attaque votre app publiée pendant son exécution, pour montrer ce qu’un attaquant pourrait réellement faire. Vous pouvez utiliser les deux.
Cette page a été traduite par IA. Pour les informations les plus précises et à jour, consultez la version anglaise.