Description

Je suis Raphaël, Bug Hunter indépendant et Pentester Web & API.

J'interviens sur l'audit de sécurité offensif de vos plateformes web et de vos API, les environnements où se concentrent les vulnérabilités à fort impact : injections, IDOR, broken authentication, contournements de logique métier, XSS, SSRF et bien d'autres.

Mon approche est directement issue du terrain. Je participe activement à des programmes de bug bounty sur YesWeHack et Intigriti, avec des vulnérabilités identifiées sur des cibles de premier plan (groupes du CAC40, sites gouvernementaux .gouv, e-commerce).

Ce que je teste :

Applications web (front et back-end)
API REST et GraphQL
Mécanismes d'authentification et de gestion des sessions
Logique métier et contrôle d'accès
Exposition de données sensibles

À qui je m'adresse : PME, agences web, éditeurs SaaS, collectivités et administrations souhaitant valider la sécurité de leur plateforme avant une mise en production ou pour un audit d'un site déjà en prod, ou suite à un incident.

Je livre un rapport clair et actionnable avec les vulnérabilités classées par criticité, leur preuve d'exploitation (PoC), et les recommandations de correction.

N'hésitez pas à me contacter si vous avez la moindre question.

Je ne divulgue jamais le noms de mes clients, notre conversation reste strictement confidentielle.

Mon site internet : bughunter.pro

Langues

Français
Bilingue ou natif

Préférences en matière de lieu de travail

En télétravail uniquement

Travaille majoritairement à distance

Plateforme web
CSRF - remplacement d'adresse email sans confirmation
juin 2026 - juin 2026
Identification d'une vulnérabilité CSRF (Cross-Site Request Forgery) sur le formulaire de modification d'adresse email. En amenant un utilisateur authentifié à ouvrir un lien piégé (page web, redirection ou email), l'attaquant pouvait substituer silencieusement l'adresse email du compte cible par la sienne sans confirmation de l'ancienne adresse et sans validation de la nouvelle. Cette faille ouvre directement la voie à une prise de contrôle de compte. Classée High.
Audit de sécurité Bug Bounty PenTest Sensibilisation à la cybersécurité
Site e-commerce
Contournement de limite d'achat logique métier défaillante
juin 2026 - juin 2026
Identification d'un défaut de logique métier permettant à un utilisateur de commander plusieurs unités d'un article normalement limité à une seule unité par compte. La contrainte, uniquement appliquée côté client, était contournable via une manipulation directe des requêtes HTTP. Impact potentiel sur les stocks, l'équité des ventes et les revenus de la plateforme. Classée Medium.
Audit de sécurité Bug Bounty Pentest Web Cybersécurité
Administration publique française
IDOR critique accès non autorisé aux données de l'ensemble des utilisateurs
avril 2026 - avril 2026
Découverte d'une vulnérabilité de type IDOR (Insecure Direct Object Reference) sur une plateforme officielle du gouvernement français (.gouv.fr). La faille permettait à tout utilisateur authentifié d'accéder aux profils complets des autres utilisateurs inscrits, sans contrôle d'accès côté serveur. Classée Critical.
Bug Bounty Audit de sécurité PenTest Cybersécurité