Le verdict en trois phrases
Un test d'intrusion boîte grise d'une application web métier coûte entre 6 000 et 14 000 € HT à Toulouse en 2026, pour 5 à 10 jours d'audit selon le nombre de rôles et d'API. Il faut budgéter en plus 3 000 à 8 000 € HT de correctifs, car un audit sans remédiation ne rassure aucun donneur d'ordre. Exigez un contre-audit inclus et un rapport structuré sur l'OWASP Top 10, directement réutilisable dans votre dossier de conformité NIS2.
Définir le périmètre : ce qui fait varier le prix
Le RSSI d'une ETI toulousaine de sous-traitance aéronautique doit prouver la sécurité de son portail client avant un contrat avec un grand donneur d'ordre. Le questionnaire fournisseur réclame un rapport de pentest de moins de 12 mois, avec les vulnérabilités critiques corrigées. Le prix dépend d'abord du périmètre testé.
| Élément de périmètre | Impact sur la charge | Effet sur le prix (€ HT) |
|---|---|---|
| Application avec 2 rôles, 30 écrans | Base 5 jours | 6 000 à 7 000 |
| Chaque rôle supplémentaire (admin, partenaire) | +0,5 à 1 jour | +600 à 1 200 |
| API REST exposée (50 points d'entrée) | +1 à 2 jours | +1 200 à 2 400 |
| Téléversement de fichiers, génération PDF | +0,5 jour | +600 |
| Authentification SSO ou multi-facteur | +0,5 jour | +600 |
| Infrastructure exposée (serveurs, DNS, TLS) | +1 jour | +1 200 |
| Rapport en anglais pour un donneur d'ordre étranger | +0,5 jour | +600 |
Le mode boîte grise est le bon compromis pour une application métier : l'auditeur reçoit des comptes de test pour chaque rôle, ce qui lui permet de chercher les failles les plus coûteuses, comme un utilisateur qui accède aux commandes d'un autre client. Une boîte noire pure découvre moins de choses pour le même budget, une boîte blanche avec revue de code coûte 30 à 50 % de plus.
Ce que l'audit cherche et ce que coûtent les correctifs
| Catégorie OWASP Top 10 | Exemple sur un portail client | Correctif typique (€ HT) |
|---|---|---|
| Contrôle d'accès défaillant | Changer un identifiant dans l'URL affiche la facture d'un autre client | 800 à 2 500 |
| Défaillances cryptographiques | Mots de passe hachés en SHA-1, TLS 1.0 actif | 400 à 1 200 |
| Injection | Champ de recherche vulnérable à l'injection SQL | 500 à 1 500 |
| Mauvaise configuration | Messages d'erreur détaillés, en-têtes CSP absents | 300 à 800 |
| Composants vulnérables | Framework non mis à jour depuis 3 ans | 1 000 à 4 000 |
| Authentification faible | Pas de limitation des tentatives de connexion | 400 à 1 000 |
| Journalisation insuffisante | Aucune trace des accès aux données sensibles | 600 à 1 500 |
Sur une application métier de 4 à 6 ans, on trouve en moyenne 2 à 4 vulnérabilités élevées ou critiques et 8 à 15 de sévérité moyenne. Le budget de correctifs de 3 000 à 8 000 € HT couvre ce cas courant. Au-delà, le rapport révèle souvent une dette technique plus profonde qu'il faut traiter comme un projet à part.
| Étape | Durée | Livrable |
|---|---|---|
| Cadrage et convention d'audit | 1 semaine | Périmètre signé, fenêtres de test, comptes |
| Tests d'intrusion | 5 à 10 jours | Preuves d'exploitation |
| Rapport | 3 à 5 jours | Synthèse dirigeants, détail technique, scores CVSS |
| Correctifs | 2 à 4 semaines | Code corrigé, tests de non-régression |
| Contre-audit | 1 à 2 jours | Attestation de correction |
Mini cas pratique
Thomas, RSSI d'une ETI de 400 salariés à Toulouse, reçoit un devis de pentest à 9 800 € HT pour 8 jours (3 rôles, une API, l'infrastructure exposée). L'audit relève 3 failles élevées, dont un contrôle d'accès défaillant sur les bons de livraison, et 11 moyennes. Les correctifs coûtent 5 400 € HT, le contre-audit est inclus. Total : 15 200 € HT. Le contrat visé représente 1 200 000 € par an : l'audit pèse 1,3 % de la première année et conditionne le référencement.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Un scan automatique ne suffit-il pas ?
Non, un scanner à 500 € détecte les composants obsolètes et les mauvaises configurations, mais presque jamais les failles de contrôle d'accès. Ce sont pourtant elles qui figurent en tête de l'OWASP Top 10 depuis 2021.
Faut-il un prestataire qualifié PASSI ?
Pour un opérateur d'importance vitale ou certains marchés publics, oui, et le prix monte de 20 à 40 %. Pour un donneur d'ordre privé, un auditeur expérimenté avec une méthodologie OWASP documentée suffit le plus souvent.
Le test peut-il casser la production ?
Le risque est faible si les tests se font sur un environnement de préproduction identique. Sinon, nous fixons des fenêtres de test et excluons les actions destructrices dans la convention.
Le rapport sert-il pour NIS2 ?
Oui, il documente l'évaluation de l'efficacité des mesures de sécurité demandée par la directive. Renouvelé tous les 12 mois, il montre aussi la progression de votre posture.
Qui corrige les failles si l'application a été développée par un autre prestataire ?
Nous pouvons corriger nous-mêmes après une courte reprise de code de 1 à 2 jours, ou transmettre un rapport détaillé à votre équipe. Le contre-audit reste inclus dans les deux cas.
Parlons de votre projet. Décrivez-nous votre application, ses rôles et l'exigence de votre donneur d'ordre, nous chiffrons l'audit entre 6 000 et 14 000 € HT et les correctifs associés. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.