Le verdict en trois phrases
Un audit de sécurité d'application web B2B coûte entre 6 000 et 18 000 EUR HT à Bordeaux en 2026, selon le périmètre et la profondeur du pentest. Un audit sans retest après remédiation ne prouve rien : il faut budgéter la correction et la contre-vérification dès le devis. Comptez 2 à 4 semaines et prévoyez un coût de remédiation souvent équivalent à 40 à 80 % du coût de l'audit.
Le périmètre et son coût
Le prix d'un audit dépend directement de ce qu'on testé. Voici les ordres de grandeur 2026 pour une PME à Bordeaux.
| Périmètre | Contenu | Délai | Coût (EUR HT) |
|---|---|---|---|
| OWASP Top 10 (web) | Injections, XSS, CSRF, config | 4-6 j | 3 500 - 7 000 |
| Authentification / sessions | MFA, JWT, gestion des rôles | 2-4 j | 2 000 - 4 500 |
| API REST/GraphQL | Auth, quotas, exposition données | 3-5 j | 2 500 - 6 000 |
| Infrastructure / config | Headers, TLS, secrets, CI/CD | 2-3 j | 1 500 - 4 000 |
| Test d'intrusion authentifié | Escalade de privilèges | 3-5 j | 3 000 - 7 000 |
| Revue de code ciblée | Points critiques | 2-4 j | 2 000 - 5 000 |
Un audit "go-live" complet combine OWASP, auth et API, soit typiquement 6 000 à 12 000 EUR ; ajouter le test authentifié et la revue de code pousse vers 18 000 EUR.
Niveaux de criticité et coût de remédiation
Un bon rapport classe chaque vulnérabilité par criticité avec un effort de correction chiffré. C'est ce qui permet d'arbitrer.
| Criticité | Exemple typique | Délai correction | Coût remédiation (EUR HT) |
|---|---|---|---|
| Critique | Injection SQL, contournement auth | Immédiat | 1 500 - 4 000 |
| Élevée | Escalade de privilèges, IDOR | < 1 semaine | 1 000 - 3 000 |
| Moyenne | XSS stocké, CSRF | 2-4 semaines | 600 - 2 000 |
| Faible | Headers manquants, verbose | Best effort | 300 - 1 000 |
| Informative | Bonnes pratiques | Optionnel | 0 - 500 |
Le retest après remédiation coûte généralement 1 000 à 3 000 EUR et doit toujours être inclus : sans lui, vous n'avez aucune preuve que les failles sont fermées.
Conformité RGPD et sécurité continue
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Un audit ponctuel ne suffit pas si l'application évolue chaque mois. La sécurité se pilote dans la durée, surtout avec des données personnelles B2B.
| Dispositif | Objectif | Coût (EUR HT) |
|---|---|---|
| Registre RGPD + analyse | Cartographie données | 1 500 - 4 000 |
| Scan automatisé mensuel | Détection continue | 200 - 600 /mois |
| Audit annuel | Vérification profonde | 5 000 - 12 000 /an |
| Plan de réponse incident | Procédure + contacts | 1 500 - 3 500 |
| Formation équipe dev | Secure coding | 1 200 - 3 000 |
Mini cas pratique
Sophie, RSSI d'une PME SaaS de 60 personnes à Bordeaux, doit sécuriser une application avant une mise en production traitant des données clients sensibles. Elle commande un audit OWASP + auth + API à 9 500 EUR HT. Le rapport révèle 2 failles critiques, 3 élevées et 6 moyennes ; la remédiation coûte 5 200 EUR et le retest 1 800 EUR, soit un budget total de 16 500 EUR. Une seule des failles critiques (un IDOR exposant les factures d'autres clients) aurait pu entraîner une violation de données ; le coût moyen d'une notification et gestion d'incident RGPD dépassant souvent 50 000 EUR, l'audit se justifie dès la première faille évitée.
FAQ
Pentest en boîte noire ou boîte blanche ? La boîte noire simule un attaquant externe sans accès ; la boîte blanche donne le code et les comptes. La boîte blanche trouve plus de failles pour un coût proche : c'est généralement le meilleur choix avant un go-live.
Faut-il un audit à chaque mise en production ? Non, mais un scan automatisé mensuel et un audit annuel complet suffisent pour la plupart des PME. Une refonte majeure ou l'ajout de paiements justifie un audit dédié.
Le retest est-il vraiment indispensable ? Oui. Sans retest, vous ne savez pas si les corrections sont efficaces ni si elles ont introduit de nouvelles failles. Un audit sans retest est incomplet.
L'audit couvre-t-il la conformité RGPD ? Partiellement : il traite la sécurité technique des données. La conformité juridique (registre, mentions, sous-traitants) est un volet complémentaire à 1 500-4 000 EUR.
Combien de temps reste valable un audit ? Techniquement, jusqu'à la prochaine évolution significative du code. En pratique, un audit à plus de 12 mois sur une application active est considéré comme périmé.
Parlons de votre projet. Précisez le périmètre à auditer (web, API, authentification), la technologie et l'échéance de mise en production pour un chiffrage entre 6 000 et 18 000 EUR HT, retest inclus. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
