Éthique, Cadre Légal & Responsabilité du Pentesteur

La maîtrise des techniques offensives confère un pouvoir d'investigation considérable. Sans un cadre déontologique et juridique inébranlable, ce pouvoir bascule instantanément dans l'illégalité et la responsabilité pénale.

---

1. Le Cadre Juridique Français : Les Atteintes aux STAD

En droit français, la loi dite « Godfrain » a introduit dans le Code pénal les articles 323-1 et suivants relatifs aux Systèmes de Traitement Automatisé de Données (STAD) :

Article 323-1 du Code Pénal :

> « Le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données est puni de trois ans d'emprisonnement et de 100 000 euros d'amende. > Lorsqu'il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de cinq ans d'emprisonnement et de 150 000 euros d'amende. > Lorsque cette infraction a été commise à l'encontre d'un STAD à caractère personnel mis en œuvre par l'État, les peines sont portées à sept ans et 300 000 euros. »

Article 323-2 du Code Pénal :

> « Le fait d'entraver ou de fausser le fonctionnement d'un système de traitement automatisé de données est puni de cinq ans d'emprisonnement et de 150 000 euros d'amende. » (Cible typique : attaques par déni de service DDoS).

Article 323-3-1 du Code Pénal :

> La fabrication, détention ou diffusion sans motif légitime d'outils, programmes informatiques conçus ou spécialement adaptés pour commettre une ou plusieurs infractions (outils d'attaque, malwares, botnets) est sévèrement sanctionnée.

---

2. La Règle d'Or du Pentest : L'Ordre de Mission Écrit

Un test d'intrusion (Penetration Test) n'est légal que s'il dispose d'une autorisation explicite, écrite, préalable et délimitée, appelée Ordre de Mission (Rules of Engagement - RoE).

Ce document contractuel doit obligatoirement stipuler : 1. Le périmètre strict (Scope) : Adresses IP, noms de domaine, plages d'adresses expressément autorisées. Tout scan ou requête dirigé contre une cible hors scope (ex: le fournisseur de cloud ou la passerelle voisine) constitue une infraction pénale ! 2. La période d'audit : Dates et créneaux horaires précis (ex: du 10 au 14 novembre 2026, entre 20h00 et 04h00). 3. Les méthodologies proscrites : Interdiction des attaques par déni de service volumétrique, interdiction de l'ingénierie sociale physique sans accord spécifique, interdiction de détruire des données opérationnelles. 4. Le protocole de contact d'urgence : Numéros d'astreinte de l'équipe de sécurité du client en cas d'incident critique imprévu.

---

3. Les Trois Postures : White Hat, Grey Hat, Black Hat

| Posture | Intention | Autorisation | Légalité | | :--- | :--- | :--- | :--- | | White Hat (Hacker Éthique) | Défensive, protection, audit autorisé | Explicite et contractuelle | 100% Légal | | Grey Hat | Curiosité, recherche sans contrat, divulgation unilatérale | Absente ou ambiguë | Illégal (Poursuites possibles) | | Black Hat (Cybercriminel) | Nuisance, extorsion, vol de secrets, sabotage | Aucune | Infraction Criminelle Grave |

> [!WARNING] > La mention « C'était juste pour tester la sécurité » ou « Je n'ai rien volé » ne constitue en aucun cas une défense juridique valable devant un tribunal. L'accès non autorisé, même passif, suffit à caractériser l'infraction de l'article 323-1.