Le verdict en trois phrases
Pour une société casablancaise de services financiers, un test d'intrusion boîte grise de son application client coûte en ordre de grandeur 2026 entre 60 000 et 140 000 MAD HT, pour 5 à 10 jours d'audit couvrant le Top 10 OWASP. Le budget oublié est celui des correctifs, souvent 20 à 40 jours de développement, soit davantage que l'audit lui-même. Un audit utile avant un contrôle réglementaire livre un rapport priorisé, un plan de remédiation chiffré et un retest inclus qui prouve la correction.
Ce que doit couvrir l'audit avant un contrôle réglementaire
La loi 05-20 relative à la cybersécurité et les directives de la DGSSI imposent aux entités concernées une démarche de gestion des risques, de journalisation et de déclaration des incidents. Pour une société financière, le régulateur sectoriel attend aussi des preuves de tests réguliers sur les applications exposées. La loi 09-08 sur les données personnelles, contrôlée par la CNDP, ajoute l'exigence de protéger les données clients contre tout accès non autorisé.
| Volet de l'audit | Contrôles réalisés | Charge estimée |
|---|---|---|
| Contrôle d'accès (OWASP A01) | Escalade de privilèges, accès aux comptes d'autres clients (IDOR) | 1 à 2 jours |
| Défaillances cryptographiques (A02) | Chiffrement des données sensibles, TLS, stockage des mots de passe | 0,5 à 1 jour |
| Injections (A03) | SQL, commandes, injections dans les API | 1 à 2 jours |
| Configuration et composants (A05, A06) | En-têtes de sécurité, bibliothèques vulnérables, services exposés | 0,5 à 1,5 jour |
| Authentification et sessions (A07) | Force brute, réinitialisation de mot de passe, double authentification | 1 à 1,5 jour |
| Journalisation et SSRF (A09, A10) | Traçabilité des actions sensibles, requêtes côté serveur | 0,5 à 1 jour |
| Rapport et restitution | Synthèse dirigeants, détail technique, plan de remédiation | 0,5 à 1 jour |
| Total | Application client web et API | 5 à 10 jours |
Prix d'un pentest d'application web à Casablanca en 2026
| Format d'audit | Durée | Prix indicatif HT | Usage |
|---|---|---|---|
| Scan automatisé avec revue | 1 à 2 jours | 15 000 à 30 000 MAD | Hygiène de base, insuffisant pour un régulateur |
| Boîte noire | 4 à 6 jours | 45 000 à 85 000 MAD | Vision d'un attaquant externe |
| Boîte grise (comptes de test fournis) | 5 à 10 jours | 60 000 à 140 000 MAD | Recommandé pour une application client |
| Boîte blanche avec revue de code | 10 à 15 jours | 130 000 à 220 000 MAD | Applications critiques, paiement |
| Retest après correctifs | 1 à 2 jours | Inclus ou 10 000 à 25 000 MAD | Preuve de remédiation |
| Audit de l'application mobile associée | 3 à 5 jours | 35 000 à 70 000 MAD | Si l'application existe |
La boîte grise offre le meilleur rapport coût et couverture : l'auditeur dispose de comptes client et conseiller, ce qui permet de tester les contrôles d'accès entre profils, première source de fuites de données dans les applications financières.
Le budget des correctifs : 20 à 40 jours à prévoir
Un audit d'une application métier développée depuis plusieurs années remonte typiquement 2 à 4 vulnérabilités critiques, 5 à 10 élevées ou moyennes et une dizaine de points faibles. La correction mobilise 20 à 40 jours de développement. Au taux journalier casablancais de 4 000 à 6 000 MAD pour un développeur confirmé, le budget de remédiation se situe entre 80 000 et 240 000 MAD HT. Il faut le provisionner dès la commande de l'audit, avec un calendrier compatible avec la date du contrôle.
Mini cas pratique
Karim, DSI d'une société de services financiers à Casablanca, doit présenter un audit de son espace client avant un contrôle prévu dans 4 mois. Il retient une boîte grise de 8 jours à 110 000 MAD HT, retest inclus. Le rapport identifie 3 failles critiques (dont un accès aux relevés d'autres clients) et 7 vulnérabilités moyennes, corrigées en 28 jours de développement à 5 000 MAD, soit 140 000 MAD. Budget total : 250 000 MAD HT. En regard, une fuite de données clients exposerait la société à une sanction CNDP, à la notification des personnes concernées et à une perte de confiance dont le coût dépasse largement ce montant. Calendrier tenu : audit en semaine 2, correctifs en semaines 3 à 9, retest en semaine 10. Cas illustratif.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Quelle différence entre un scan de vulnérabilités et un test d'intrusion ?
Le scan détecte automatiquement des failles connues en 1 à 2 jours pour 15 000 à 30 000 MAD. Le test d'intrusion ajoute l'exploitation manuelle, notamment des contrôles d'accès, que les outils automatiques ne détectent pas.
Combien de temps avant le contrôle faut-il lancer l'audit ?
Idéalement 3 à 4 mois avant : 2 semaines pour l'audit et le rapport, 6 à 8 semaines pour les correctifs, puis le retest. En dessous de 6 semaines, seules les failles critiques pourront être traitées.
Le retest est-il vraiment nécessaire ?
Oui, il prouve au régulateur que les failles ont été corrigées et n'ont pas créé de régressions. Il dure 1 à 2 jours et doit être inclus dans l'offre ou chiffré à part, entre 10 000 et 25 000 MAD.
À quelle fréquence faut-il refaire un audit OWASP ?
Au minimum une fois par an pour une application financière exposée, et après chaque évolution majeure. Beaucoup d'entités budgètent 80 000 à 150 000 MAD par an pour ce cycle.
L'auditeur doit-il être qualifié par la DGSSI ?
Pour les infrastructures d'importance vitale et certaines entités régulées, le recours à un prestataire qualifié est attendu. Vérifiez vos obligations avant de signer, car le coût d'un prestataire qualifié est supérieur de 15 à 30 % en moyenne.
Parlons de votre projet. Indiquez le périmètre de votre application, la date du contrôle et votre stack technique : nous vous remettons un plan de remédiation chiffré, un budget de correctifs et un calendrier réaliste. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
