Le verdict en trois phrases
Un pentest en boîte grise d'un portail client coûte entre 6 000 et 15 000 € HT à Paris en 2026, pour 5 à 10 jours d'audit selon le périmètre fonctionnel. Il faut prévoir en plus 3 000 à 12 000 € de correctifs et exiger un re-test inclus pour obtenir un rapport présentable au service achats d'un grand compte. Un prestataire qualifié PASSI n'est pas obligatoire pour une ETI privée, mais il accélère nettement la validation par les RSSI des donneurs d'ordre.
Quel type d'audit pour quel enjeu
Les grands comptes demandent de plus en plus un rapport de test d'intrusion de moins de 12 mois dans leur questionnaire de sécurité fournisseur. Le format choisi conditionne le prix et la crédibilité du rapport.
| Type d'audit | Informations fournies | Durée | Prix 2026 (HT) | Usage recommandé |
|---|---|---|---|---|
| Scan automatisé | URL seule | 1 jour | 800 à 2 000 € | Hygiène mensuelle, pas un pentest |
| Pentest boîte noire | URL seule | 4 à 6 jours | 5 000 à 9 000 € | Simuler un attaquant externe |
| Pentest boîte grise | Comptes utilisateurs par rôle | 5 à 10 jours | 6 000 à 15 000 € | Portail client, standard grands comptes |
| Pentest boîte blanche | Code source et architecture | 8 à 15 jours | 12 000 à 25 000 € | Application critique, données sensibles |
| Audit de configuration cloud | Accès lecture AWS, Azure ou OVH | 2 à 4 jours | 3 000 à 6 000 € | Complément infrastructure |
| Re-test après correctifs | Rapport initial | 1 à 2 jours | Inclus ou 1 000 à 2 500 € | Indispensable pour le dossier client |
La boîte grise est le meilleur compromis : l'auditeur teste chaque rôle (client, gestionnaire, administrateur) et cherche les escalades de privilèges, première cause de fuite de données sur les portails B2B.
Méthodologie : ce que doit couvrir le rapport
Un rapport sérieux suit l'OWASP Top 10 et l'OWASP ASVS niveau 2. Voici les vulnérabilités les plus fréquentes trouvées sur les portails clients d'ETI en 2025 et 2026, avec le coût moyen de correction.
| Vulnérabilité (OWASP 2021) | Fréquence observée | Gravité typique | Coût de correction (HT) |
|---|---|---|---|
| A01 Contrôle d'accès défaillant (IDOR) | 45 à 60 % des audits | Critique | 1 500 à 4 000 € |
| A07 Authentification faible, pas de MFA | 35 à 50 % | Haute | 1 000 à 3 000 € |
| A05 Mauvaise configuration (en-têtes, CORS) | 60 à 70 % | Moyenne | 500 à 1 500 € |
| A06 Composants obsolètes | 40 à 55 % | Variable | 1 000 à 5 000 € |
| A03 Injection (SQL, XSS) | 15 à 25 % | Critique | 1 000 à 3 500 € |
| A09 Journalisation insuffisante | 50 à 65 % | Moyenne | 1 500 à 3 000 € |
Ces fréquences sont des ordres de grandeur 2026 issus de retours de prestataires, pas une statistique officielle. Le rapport doit classer chaque faille selon le score CVSS et proposer une correction concrète.
NIS2, ISO 27001 et calendrier
Depuis la transposition de NIS2 en droit français, de nombreuses ETI deviennent entités importantes et doivent démontrer une gestion des risques documentée. Les grands comptes répercutent cette exigence sur leurs fournisseurs. Un pentest annuel et un plan de remédiation suivi sont aussi des preuves attendues pour la certification ISO 27001 (contrôle A.8.29). Comptez 3 semaines : une semaine de cadrage et d'autorisation écrite, une semaine d'audit, une semaine de correctifs et de re-test.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Thomas, DSI d'une ETI de services de 350 salariés à Paris, doit fournir un rapport de pentest pour signer un contrat de 1,2 million d'euros avec un groupe bancaire. Pentest boîte grise de 7 jours : 10 500 € HT. L'audit révèle 2 failles critiques (IDOR sur les factures, absence de MFA administrateur) et 5 moyennes : correctifs chiffrés à 7 500 € HT. Re-test inclus. Budget total : 18 000 € HT, soit 1,5 % de la valeur du contrat. Sans rapport conforme, le contrat aurait été repoussé d'au moins un trimestre, soit environ 300 000 € de chiffre d'affaires décalé.
FAQ
Combien coûte un pentest d'application web à Paris en 2026 ?
Entre 6 000 et 15 000 € HT pour un pentest boîte grise de 5 à 10 jours. Le prix dépend du nombre de rôles, de pages dynamiques et d'API exposées.
Faut-il obligatoirement un prestataire PASSI ?
Non pour une ETI privée, sauf exigence contractuelle ou statut d'opérateur d'importance vitale. Un prestataire PASSI coûte en moyenne 10 à 20 % de plus mais rassure les RSSI des grands comptes.
Le re-test est-il vraiment nécessaire ?
Oui, car le service achats veut la preuve que les failles critiques sont corrigées. Il prend 1 à 2 jours et doit idéalement être inclus dans le devis initial.
À quelle fréquence refaire un pentest ?
Une fois par an au minimum, et après toute évolution majeure du portail. La plupart des questionnaires fournisseurs refusent un rapport de plus de 12 mois.
Kolonell réalise-t-il les correctifs ?
Oui, nous corrigeons les failles relevées, ajoutons MFA, journalisation et en-têtes de sécurité, puis coordonnons le re-test avec l'auditeur indépendant. Un correctif critique est généralement livré sous 5 jours ouvrés.
Parlons de votre projet. Indiquez-nous l'URL de votre portail, le nombre de rôles utilisateurs et l'échéance de votre contrat : nous cadrons l'audit, les correctifs et le re-test. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
