Le verdict en trois phrases
Un grand donneur d'ordre qui exige un audit de sécurité ne veut pas un rapport, il veut la preuve que les failles critiques sont corrigées. Pour une application métier de PME à Toulouse, comptez en 2026 5 000 à 15 000 EUR HT pour le pentest applicatif et 3 000 à 20 000 EUR HT pour les correctifs, selon l'état du code. Le budget dérape quand on lance le pentest sans avoir d'abord activé la double authentification, la journalisation et une revue du Top 10 OWASP.
Ce que le client grand compte va vérifier
Le directeur général d'une PME de services de 120 salariés reçoit un questionnaire sécurité de 80 questions de son principal client, qui représente 30 % du chiffre d'affaires. L'extranet partagé avec ce client contient des plannings, des contrats et des données personnelles. Les points contrôlés reviennent presque toujours aux mêmes catégories.
| Exigence | Ce que l'on contrôle | État fréquent dans une PME | Effort de mise à niveau |
|---|---|---|---|
| Authentification | 2FA, politique de mots de passe, verrouillage | mot de passe seul | 3 à 5 jours |
| Contrôle d'accès (OWASP A01) | un utilisateur ne voit que ses données | identifiants devinables dans les URL | 5 à 10 jours |
| Injections (OWASP A03) | requêtes paramétrées, validation des entrées | requêtes concaténées sur 10 à 20 % des écrans | 5 à 15 jours |
| Composants vulnérables (OWASP A06) | versions des bibliothèques | 2 à 4 ans de retard | 3 à 10 jours |
| Journalisation (OWASP A09) | traces des connexions et actions sensibles, conservation 6 à 12 mois | logs serveur seuls | 3 à 6 jours |
| Chiffrement | TLS 1.2 minimum, données sensibles chiffrées | TLS correct, base en clair | 2 à 5 jours |
| Sauvegardes et reprise | test de restauration documenté | sauvegarde jamais testée | 1 à 3 jours |
Le RGPD ajoute une obligation de sécurité adaptée au risque (article 32) : en cas de fuite, la notification à la CNIL doit intervenir sous 72 heures, et l'absence de mesures élémentaires aggrave la sanction.
Combien coûte l'audit et ce qu'il comprend
Les prix ci-dessous sont des ordres de grandeur 2026 constatés auprès de cabinets d'audit en Occitanie et à Paris pour une application web de taille moyenne (30 à 60 écrans, 3 à 4 profils utilisateurs).
| Prestation | Durée | Prix marché (ordre de grandeur 2026) | Livrable |
|---|---|---|---|
| Revue de configuration et scan automatisé | 1 à 2 jours | 1 500 à 3 000 EUR HT | liste de vulnérabilités brutes |
| Pentest boîte grise, application web | 4 à 8 jours | 5 000 à 10 000 EUR HT | rapport avec criticité CVSS |
| Pentest boîte grise, application et API | 8 à 12 jours | 9 000 à 15 000 EUR HT | rapport et preuves d'exploitation |
| Audit de code ciblé | 3 à 6 jours | 3 500 à 7 000 EUR HT | points faibles du code source |
| Contre-audit après correctifs | 1 à 3 jours | 1 200 à 3 500 EUR HT | attestation de correction |
| Correctifs selon le rapport | 2 à 8 semaines | 3 000 à 20 000 EUR HT | code corrigé et testé |
Un prestataire qualifié PASSI coûte 20 à 30 % plus cher mais rassure les clients publics et les opérateurs d'importance vitale. Pour un grand client privé, un pentest réalisé par un cabinet reconnu avec contre-audit suffit le plus souvent.
Où intervient Kolonell
Kolonell ne remplace pas l'auditeur indépendant : il prépare l'application avant le pentest et exécute le plan de remédiation après. Si l'application doit être refondue, la grille sur mesure s'applique : simple de 2 500 000 à 4 000 000 FCFA (3 810 à 6 100 EUR), moyenne de 4 000 000 à 7 000 000 FCFA (6 100 à 10 670 EUR), complexe de 7 000 000 à 15 000 000+ FCFA (10 670 à 22 870+ EUR). Le chantier de remédiation seul, la préparation de la documentation de sécurité et l'hébergement renforcé se chiffrent sur devis. La maintenance à 35 000, 75 000 ou 120 000 FCFA par mois (53, 114 ou 183 EUR) inclut la mise à jour régulière des dépendances, première cause de nouvelles failles. Voir aussi notre offre cybersécurité.
Le calendrier réaliste : 2 semaines de préparation (2FA, logs, mises à jour), 1 à 2 semaines de pentest, 2 à 5 semaines de correctifs, 1 semaine de contre-audit, soit 6 à 10 semaines.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
M. Ferrand, directeur général d'une PME de services de maintenance à Toulouse, réalise 9 M EUR de chiffre d'affaires, dont 2,7 M EUR avec un seul client industriel qui exige l'audit avant renouvellement du contrat. Budget : préparation 4 000 EUR, pentest application et API 11 000 EUR, correctifs 9 000 EUR, contre-audit 2 000 EUR, soit 26 000 EUR HT.
Rapporté au contrat protégé, cela représente moins de 1 % du chiffre d'affaires annuel avec ce client. Le pentest relève 2 failles critiques (accès aux documents d'un autre site par modification d'identifiant, injection sur la recherche), 5 élevées et 11 moyennes. Les critiques et élevées sont corrigées en 3 semaines. Le contrat de 3 ans est renouvelé, et le même rapport sert ensuite pour deux appels d'offres.
FAQ
Faut-il faire un pentest chaque année ?
Pour une application exposée qui évolue, un pentest annuel est la norme demandée par 70 à 80 % des questionnaires grands comptes. Entre deux pentests, un scan automatisé mensuel coûte quelques centaines d'euros.
Boîte noire ou boîte grise ?
La boîte grise, avec des comptes de test pour chaque profil, trouve en général 2 à 3 fois plus de failles de contrôle d'accès en autant de jours. C'est le format le plus rentable pour une application métier.
La double authentification suffit-elle ?
Non, elle bloque surtout le vol de mots de passe, cause de plus de 60 % des intrusions sur les extranets. Les failles de contrôle d'accès et d'injection restent à traiter dans le code.
Combien de temps garder les journaux ?
La CNIL recommande en général 6 mois à 1 an pour les traces de connexion. Au-delà, il faut une justification et une durée documentée.
Que faire si le rapport révèle des failles critiques ?
On corrige d'abord les critiques sous 1 à 2 semaines, puis les élevées, et l'on demande un contre-audit. Les clients acceptent presque toujours un plan daté plutôt qu'un rapport parfait.
Parlons de votre projet. Partagez-nous le questionnaire de votre client ou votre dernier rapport de pentest, nous cadrons la préparation et la remédiation sur 6 à 10 semaines. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
