Le verdict en trois phrases
Un pentest en boîte grise d'application métier coûte 5 000 à 12 000 € HT à Bordeaux en 2026, pour 5 à 10 jours d'audit selon la surface fonctionnelle. Il faut ajouter 3 000 à 10 000 € de correctifs, souvent oubliés dans le budget initial. Pour une mutuelle qui traite des données de santé, choisir un prestataire qualifié PASSI et planifier l'audit avant la mise en production est le meilleur rapport coût et risque disponible.
Ce que couvre un pentest d'application métier
En boîte grise, l'auditeur dispose de comptes de test avec différents rôles (adhérent, gestionnaire, administrateur). Il cherche les failles que ces rôles permettent d'exploiter : accès aux dossiers d'un autre adhérent, élévation de privilèges, injection, contournement de l'authentification, fuite de pièces justificatives. La méthodologie s'appuie sur l'OWASP Top 10 et l'OWASP ASVS.
| Type d'audit | Contenu | Durée | Prix indicatif 2026 (HT) |
|---|---|---|---|
| Scan automatisé de vulnérabilités | Outils, sans exploitation manuelle | 1 à 2 jours | 1 200 à 2 500 € |
| Pentest boîte noire | Attaquant externe sans compte | 3 à 6 jours | 4 000 à 8 000 € |
| Pentest boîte grise | Comptes de test, plusieurs rôles | 5 à 10 jours | 5 000 à 12 000 € |
| Pentest boîte blanche + revue de code | Accès au code source | 8 à 15 jours | 10 000 à 20 000 € |
| Audit d'API seul | Endpoints REST ou GraphQL | 3 à 5 jours | 3 500 à 7 000 € |
| Contre-audit après correctifs | Vérification des failles corrigées | 1 à 2 jours | 1 000 à 2 400 € |
| Audit d'architecture et de configuration cloud | Réseau, IAM, chiffrement | 3 à 5 jours | 4 000 à 7 500 € |
Les prestataires qualifiés PASSI par l'ANSSI facturent en général 1 000 à 1 400 € HT par jour, contre 700 à 1 000 € pour un cabinet non qualifié. La qualification n'est pas obligatoire pour une mutuelle privée, mais elle est souvent exigée par les assureurs cyber, les hébergeurs HDS et certains partenaires publics.
Budget complet : audit, correctifs et contre-audit
| Poste | Application simple (20 écrans) | Application moyenne (50 écrans, API) | Application critique (100 écrans, données de santé) |
|---|---|---|---|
| Pentest boîte grise | 5 000 € | 8 000 € | 12 000 € |
| Correctifs par l'équipe de développement | 3 000 € | 6 000 € | 10 000 € |
| Contre-audit | 1 000 € | 1 400 € | 2 400 € |
| Durcissement de l'hébergement | 500 € | 1 500 € | 3 000 € |
| Total | 9 500 € | 16 900 € | 27 400 € |
| Délai global | 3 semaines | 5 semaines | 7 à 8 semaines |
Planifiez l'audit 4 à 6 semaines avant la date de mise en production : les prestataires PASSI bordelais ont souvent 3 à 4 semaines de délai de réservation, et les correctifs critiques doivent être livrés avant l'ouverture aux adhérents.
Le coût de ne rien faire
Le coût moyen d'une violation de données en France est estimé à 3,9 M€ (ordre de grandeur des études sectorielles 2025-2026). Pour une mutuelle régionale, il faut ajouter la notification CNIL sous 72 heures, l'information des adhérents, une possible sanction pouvant atteindre 4 % du chiffre d'affaires, et l'atteinte à la confiance dans un secteur où la fidélité est un actif central. Un audit à 12 000 € représente 0,3 % de ce risque moyen.
Mini cas pratique
Nathalie, RSSI d'une mutuelle régionale de 60 000 adhérents à Bordeaux, doit valider un nouvel espace de remboursement en ligne. Elle commande un pentest boîte grise PASSI de 8 jours à 1 200 € HT par jour.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
- Pentest : 8 × 1 200 = 9 600 €.
- Correctifs identifiés (2 critiques, 5 moyennes) : 7 000 €.
- Contre-audit de 1,5 jour : 1 800 €.
- Budget total : 18 400 € HT.
- Une seule faille critique d'accès aux dossiers d'un autre adhérent, exploitée sur 5 000 dossiers, aurait pu coûter plusieurs centaines de milliers d'euros en notification, gestion de crise et sanction.
FAQ
Combien coûte un pentest d'application métier à Bordeaux en 2026 ?
Comptez 5 000 à 12 000 € HT pour une boîte grise de 5 à 10 jours. Avec correctifs et contre-audit, le budget complet se situe entre 9 500 et 27 400 €.
Faut-il obligatoirement un prestataire PASSI ?
Pas pour toutes les entreprises, mais c'est fortement recommandé dès que des données de santé sont traitées. Le surcoût est d'environ 20 à 40 % par jour.
Quelle différence entre boîte noire et boîte grise ?
En boîte noire, l'auditeur attaque sans compte, comme un inconnu. En boîte grise, il dispose de comptes de test, ce qui révèle en moyenne 2 à 3 fois plus de failles applicatives.
À quelle fréquence refaire un pentest ?
Au moins une fois par an et après chaque évolution majeure. Beaucoup de mutuelles prévoient 15 000 à 30 000 € par an de budget d'audit.
Le rapport sert-il pour la cyberassurance ?
Oui, un rapport de pentest récent avec contre-audit peut réduire la prime ou conditionner la souscription. Conservez-le avec le plan de remédiation daté.
Parlons de votre projet. Décrivez votre application, ses rôles utilisateurs et votre date de mise en production, nous vous proposons un périmètre d'audit, un budget correctifs et un planning réaliste. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
