Le verdict en trois phrases
Un pentest black-box d'une application web métier démarre autour de 6 500 TND à Tunis en 2026, tandis qu'un audit de code source complet monte à 9 000-18 000 TND selon la taille de la base. La remédiation des failles critiques et hautes mobilise ensuite 3 à 5 semaines de développement. Pour une certification client ou un appel d'offres, budgétez l'audit ET la correction : le rapport seul ne vous rend pas conforme.
Quel type d'audit pour quel besoin
Tous les audits ne se valent pas. Un pentest simule une attaque externe ; un audit de code lit vos sources ; un audit d'architecture revoit vos choix d'infrastructure. Le prix 2026 à Tunis dépend du scope et de la profondeur.
| Type d'audit | Scope | Durée | Prix 2026 (TND) |
|---|---|---|---|
| Pentest black-box | Application exposée, sans accès code | 5-8 jours | 6 500-11 000 |
| Pentest grey-box | Avec comptes de test | 8-12 jours | 10 000-16 000 |
| Audit de code source | Revue statique + manuelle | 10-15 jours | 9 000-18 000 |
| Audit architecture + cloud | Infra, réseau, IAM | 6-10 jours | 8 000-15 000 |
| Retest après correction | Vérification des fixes | 2-3 jours | 2 500-4 500 |
La norme de référence reste l'OWASP Top 10 et l'ASVS pour la profondeur. Exigez un rapport avec preuve d'exploitation (PoC) et un plan de remédiation priorisé.
Sévérités CVSS et délais de correction
Le rapport classe chaque faille selon le score CVSS 3.1. Ce classement pilote votre planning de correction et votre budget de TMA sécurité.
| Sévérité | Score CVSS | Exemple | Délai de correction cible |
|---|---|---|---|
| Critique | 9,0-10,0 | RCE, injection SQL authentifiée | 24-72 h |
| Haute | 7,0-8,9 | XSS stockée, IDOR sensible | 1-2 semaines |
| Moyenne | 4,0-6,9 | CSRF, config faible | 2-4 semaines |
| Basse | 0,1-3,9 | Header manquant, verbosité | Prochain cycle |
| Info | 0 | Bonnes pratiques | Optionnel |
Comptez une TMA sécurité à partir de 900-1 500 TND/mois pour le suivi des correctifs, la veille CVE et un retest trimestriel.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Mohamed, DSI d'une PME industrielle à Tunis, doit sécuriser son portail fournisseurs avant une certification exigée par un client européen. Il commande un pentest grey-box à 13 000 TND et un retest à 3 500 TND. L'audit révèle 2 failles critiques et 5 hautes. La remédiation interne prend 4 semaines (estimation : 18 jours-homme x 450 TND = 8 100 TND). Budget total de mise en conformité : 24 600 TND, amorti par un contrat client de 310 000 TND/an qui exigeait cette certification. ROI immédiat : le contrat n'aurait pas été signé sans le rapport.
FAQ
Un pentest suffit-il pour être conforme RGPD ?
Non. Le pentest est une mesure technique parmi d'autres. La conformité RGPD exige aussi un registre des traitements, une politique de données et le chiffrement. Comptez le pentest comme une brique (6 500 TND et plus), pas comme la conformité entière.
Combien de temps entre l'audit et le rapport final ?
En général 5 à 15 jours d'intervention, puis 3 à 5 jours de rédaction. Un rapport de qualité inclut le résumé exécutif, le détail technique, les PoC et le plan priorisé, soit un délai total de 2 à 4 semaines.
Faut-il refaire l'audit chaque année ?
Oui pour les applications sensibles, ou après toute évolution majeure. Un retest annuel (2 500-4 500 TND) plus une TMA sécurité mensuelle suffisent pour maintenir le niveau entre deux audits complets.
Qui corrige les failles, vous ou l'auditeur ?
L'idéal est de séparer l'auditeur et le correcteur pour l'objectivité. Nous pouvons faire les deux : audit, correction (18 jours-homme en moyenne) et retest, avec un délai de 3 à 5 semaines selon la criticité.
Parlons de votre projet. Dites-nous le périmètre (nombre d'applications, présence d'API, contrainte de certification), votre budget indicatif et le délai visé. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
