Laboratoire d'essais et conseil · Granges-Paccot

Réserver un appel

Cybersécurité · Logiciels

Cybersécurité des logiciels

Logiciels installés, applications mobiles, micrologiciels, applications web et API, serveurs et environnements cloud qui les font tourner : Säfeli vous aide à les concevoir de façon sécurisée, à répondre au Cyber Resilience Act, à les tester comme le ferait un attaquant et à corriger ce qui doit l'être.

Réserver un appel de 30 minVoir nos prestations
Accès initial par une vulnérabilité exploitée (Verizon DBIR 2026)
31 %
Vulnérabilités CVE publiées en 2025
48 244
Signalement CRA des vulnérabilités
11.09.2026
CRA applicable aux logiciels
11.12.2027

Pour qui

Pour qui

  • Éditeurs de logiciels

    Logiciels installés ou téléchargés, applications mobiles : CRA, SBOM, mises à jour.

  • Fabricants d’appareils

    Micrologiciel, application compagnon et services distants du produit.

  • Équipes de développement

    Intégrer la sécurité dans votre cycle de développement.

  • Entreprises

    Applications métier, sites, API, Active Directory et cloud à tester et sécuriser.

Nos prestations

Du code à l’infrastructure

Quatre prestations qui couvrent tout le cycle de vie de vos logiciels, de la conception à l’exploitation.

Cube de verre lumineux représentant un logiciel, relié à plusieurs appareils
Cyber Resilience Act

Logiciels et Cyber Resilience Act

Votre logiciel est-il un produit au sens du CRA, de quelle classe, avec quelles obligations ? Analyse de risques, SBOM, gestion des vulnérabilités, période d'assistance, signalement, documentation : nous vous préparons avant le 11 décembre 2027.

Ce que vous recevez

  • Champ et classe du logiciel
  • Analyse des écarts au CRA
  • SBOM et processus de vulnérabilités

Références

  • Règlement (UE) 2024/2847
Le CRA pour les logiciels
Flux lumineux traversant des anneaux de contrôle
Développement

Développement sécurisé

Exigences de sécurité, modèle de menaces, codage sécurisé, tests automatisés dans votre chaîne d'intégration, gestion des vulnérabilités et des mises à jour : un cycle de développement sécurisé proportionné à votre équipe.

Ce que vous recevez

  • État des lieux de vos pratiques
  • Processus de développement sécurisé
  • Outils et tests intégrés

Références

  • IEC 62443-4-1:2018
  • NIST SP 800-218
Le développement sécurisé
Fenêtre de navigateur lumineuse sondée par un faisceau doré
Tests d’intrusion

Tests d’intrusion applicatifs

Applications web, API, applications mobiles : nous les attaquons comme le ferait un attaquant, selon les méthodes OWASP, et vous remettons un rapport clair, classé par gravité, avec un contre-test après vos corrections.

Ce que vous recevez

  • Plan de test et mandat écrit
  • Rapport des vulnérabilités
  • Contre-test

Références

  • OWASP WSTG
  • OWASP ASVS 5.0.0
Nos tests d’intrusion applicatifs
Baies de serveurs lumineuses sous un nuage de particules, protégées par un dôme
Infrastructures

Infrastructures et cloud

Exposition sur internet, Active Directory, Microsoft 365, environnements cloud, journalisation : nous auditons la configuration de ce qui fait tourner vos logiciels, testons ce qui est exposé et vous aidons à corriger.

Ce que vous recevez

  • Audit de configuration
  • Tests d’intrusion internes et externes
  • Plan de corrections priorisé

Références

  • CIS Benchmarks
  • ISO/IEC 27017:2026
Infrastructures et cloud

Et aussi

Menaces

Ce qui menace vos logiciels

Les attaquants exploitent de plus en plus les vulnérabilités logicielles, et les correctifs arrivent trop tard. Quelques chiffres récents.

  • Des vulnérabilités exploitées

    Selon le Verizon 2026 Data Breach Investigations Report, l'exploitation de vulnérabilités est devenue le premier vecteur d'accès initial des violations, avec 31 %.

    Verizon 2026 DBIR, p. 10

  • Des correctifs trop lents

    Seules 26 % des vulnérabilités critiques du catalogue KEV de la CISA ont été entièrement corrigées par les organisations en 2025, en 43 jours en médiane.

    Verizon 2026 DBIR, p. 10

  • Toujours plus de failles publiées

    48 244 vulnérabilités ont reçu un identifiant CVE publié en 2025, contre 40 077 en 2024.

    Programme CVE, métriques

  • Les failles web classiques

    Les trois faiblesses logicielles les plus dangereuses de 2025 : cross-site scripting, injection SQL et falsification de requêtes intersites.

    MITRE, CWE Top 25 2025

  • Des secrets dans le code

    Des clés et jetons publiés par erreur dans des dépôts de code publics restent exposés 94 jours en médiane avant d'être corrigés.

    Verizon 2025 DBIR, p. 17

  • Des composants tiers

    Un tiers, fournisseur ou composant, est impliqué dans 48 % des violations analysées par Verizon en 2026.

    Verizon 2026 DBIR, p. 11

Sources : Verizon 2025 et 2026 Data Breach Investigations Report ; programme CVE, métriques (cve.org) ; MITRE, CWE Top 25 2025.

Normes

Les référentiels de la sécurité logicielle

Des référentiels publics et reconnus, choisis selon votre logiciel et vos obligations.

PourNormeObjet
DéveloppementIEC 62443-4-1:2018Cycle de développement sécurisé des produits, en 8 pratiques
DéveloppementNIST SP 800-218 (SSDF 1.1)Cadre de développement logiciel sécurisé, en 4 groupes de pratiques
ApplicationsOWASP ASVS 5.0.0Exigences de sécurité vérifiables des applications, 3 niveaux
ApplicationsOWASP Top 10:2025Les dix risques les plus critiques des applications web
ApplicationsOWASP API Security Top 10 2023Les dix risques les plus critiques des API
MobileOWASP MASVS v2.1.0Exigences de sécurité des applications mobiles
SystèmesCIS BenchmarksConfigurations sécurisées des systèmes, logiciels et services cloud
OrganisationISO/IEC 27001:2022Mesures A.8.25 à A.8.31 : développement sécurisé

Ces référentiels évoluent régulièrement : nous utilisons les dernières versions publiées. Les normes harmonisées du Cyber Resilience Act sont en préparation.

Notre méthode

Votre projet en quatre étapes

  1. Appel de découverte

    Vos logiciels, vos clients, vos obligations et votre calendrier. 30 minutes.

  2. État des lieux

    Champ CRA, pratiques de développement, surface d’attaque.

  3. Mise en œuvre

    Processus, outils, tests d’intrusion, corrections avec vos équipes.

  4. Dans la durée

    Gestion des vulnérabilités, contre-tests, documentation.

Marché suisse

Logiciels et cybersécurité en Suisse

Le Cyber Resilience Act s'applique à tout logiciel mis sur le marché de l'UE, y compris par un éditeur suisse. En Suisse, le Conseil fédéral a décidé le 25 septembre 2026 de préparer une loi fédérale sur la cybersécurité qui fixera des exigences pour les fabricants de produits techniques, logiciels et matériel, sur la base du CRA ; un projet est attendu d'ici juin 2027.

Source : OFCS, communiqué du 25.09.2026.

Questions fréquentes

Questions fréquentes sur la cybersécurité des logiciels

Votre logiciel soulève une question particulière ? Posez-la directement à un ingénieur.

Réserver un appel
Mon logiciel est-il concerné par le Cyber Resilience Act ?

Oui s'il est mis sur le marché de l'UE dans le cadre d'une activité commerciale et qu'il est fourni à l'utilisateur pour être exécuté chez lui : logiciel installé ou téléchargé, application mobile, micrologiciel, logiciel fourni avec un appareil. Les services distants nécessaires à ses fonctions en font partie. Une application web utilisée uniquement dans un navigateur n'est pas, à elle seule, un produit au sens du CRA.

Sources : Règlement (UE) 2024/2847, art. 3 ; guide de la Commission C(2026) 5252, §19 à 21

Par où commencer ?

Par un état des lieux : quels logiciels vous mettez sur le marché, avec quels composants, comment vous les développez, testez et mettez à jour. Nous en tirons les priorités, qu'il s'agisse de conformité au CRA, de pratiques de développement ou de tests.

Testez-vous aussi les applications d’entreprises qui ne vendent pas de logiciel ?

Oui. Tests d'intrusion d'applications web, d'API et d'applications mobiles, audit de l'Active Directory et des environnements cloud : ces prestations s'adressent à toute entreprise qui développe ou exploite des applications, qu'elle les vende ou non.

Quels référentiels utilisez-vous ?

Les référentiels publics reconnus : OWASP ASVS, Top 10, API Security Top 10, MASVS et MASTG pour les applications, NIST SSDF et IEC 62443-4-1 pour le développement, CIS Benchmarks pour la configuration des systèmes et du cloud. Nous les choisissons selon votre produit et vos obligations.

Réserver un appel

Parlez-nous de votre logiciel

Choisissez directement un créneau de 30 minutes avec un ingénieur. Pas d'échange d'e-mails : vous choisissez l'heure, nous préparons l'échange.

Choisir un créneau

Coordonnées

Adresse
Säfeli Sàrl
Route d'Englisberg 3
1763 Granges-Paccot
Téléphone
+41 79 737 37 93
Langues
Français, allemand, anglais
Réserver un appel