Le verdict en trois phrases
Pour une fintech ivoirienne qui doit prouver la sécurité de sa plateforme à une banque partenaire, un pentest en boîte grise coûte en 2026 de 3 000 000 à 9 000 000 FCFA à Abidjan, ordre de grandeur du marché pour 5 à 15 jours d'audit. La banque attend en général un rapport structuré sur l'OWASP Top 10, un plan de correction daté et un contre-audit qui prouve que les failles critiques sont fermées. Le coût le plus sous-estimé n'est pas l'audit lui-même mais les corrections, qui représentent souvent 50 à 150 % du prix du pentest.
Ce qu'une banque partenaire demande vraiment
Avant d'ouvrir une API de paiement, de virement ou de consultation de comptes, une banque de la zone UEMOA fait passer à sa fintech partenaire une revue de sécurité. Les exigences varient d'un établissement à l'autre, mais on retrouve presque toujours les mêmes pièces, en plus de la conformité à la loi ivoirienne 2013-450 sur les données personnelles, contrôlée par l'ARTCI.
| Pièce demandée | Contenu attendu | Délai de préparation |
|---|---|---|
| Rapport de pentest récent | Moins de 12 mois, prestataire indépendant | 2 à 4 semaines |
| Plan de correction | Failles classées par criticité, dates de correction | 1 semaine |
| Rapport de contre-audit | Preuve de fermeture des failles critiques et hautes | 1 à 2 semaines |
| Politique de sécurité | Gestion des accès, mots de passe, sauvegardes | 1 à 2 semaines |
| Déclaration ou autorisation ARTCI | Traitement des données personnelles des clients | 4 à 12 semaines |
| Plan de continuité | Sauvegardes, reprise après incident | 1 à 2 semaines |
Combien coûte un pentest à Abidjan en 2026
Les fourchettes ci-dessous sont des ordres de grandeur du marché ivoirien en 2026, pour un prestataire local ou régional qualifié. Le prix dépend du nombre de rôles utilisateurs, des API exposées, de l'application mobile éventuelle et du niveau d'information donné aux auditeurs.
| Type d'audit | Périmètre type | Jours d'audit | Budget indicatif |
|---|---|---|---|
| Boîte noire (sans accès) | Site public, une API | 3 à 5 | 1 500 000 à 3 000 000 FCFA |
| Boîte grise, application web | Web, 2 à 3 rôles, API | 5 à 8 | 3 000 000 à 5 000 000 FCFA |
| Boîte grise, web et mobile | Web, Android, iOS, API | 8 à 12 | 5 000 000 à 7 500 000 FCFA |
| Boîte grise et revue de configuration cloud | Web, API, infrastructure | 10 à 15 | 6 500 000 à 9 000 000 FCFA |
| Contre-audit | Vérification des corrections | 1 à 3 | 500 000 à 1 500 000 FCFA |
Les failles les plus fréquentes sur les plateformes fintech
- Contrôle d'accès défaillant : un utilisateur consulte la transaction d'un autre en changeant un identifiant dans l'URL.
- Absence de limitation des tentatives sur la connexion et l'OTP par SMS.
- Clés d'API ou secrets stockés dans le code de l'application mobile.
- Webhooks de paiement acceptés sans vérification de signature.
- Journaux insuffisants pour retracer une fraude.
Ces corrections relèvent du développement. Une équipe comme Kolonell intervient sur cette partie : reprise du code, renforcement de l'authentification, signature des webhooks et journalisation, avant le contre-audit réalisé par l'auditeur indépendant.
Mini cas pratique
Exemple illustratif : Aïcha, directrice technique d'une fintech de paiement marchand à Abidjan, doit fournir un rapport de pentest à une banque partenaire sous 3 mois. Elle retient un audit en boîte grise web et mobile de 10 jours à 6 000 000 FCFA.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Le rapport relève 2 failles critiques, 5 hautes et 9 moyennes. Les corrections demandent 18 jours de développement, soit environ 4 500 000 FCFA, puis un contre-audit de 2 jours à 1 000 000 FCFA. Le budget total atteint 11 500 000 FCFA. Face à un partenariat qui doit générer 40 000 000 FCFA de commissions la première année, la dépense représente moins de 30 % de la première année de revenus, et protège contre une fraude dont le coût moyen dépasse largement ce montant.
FAQ
Quelle est la différence entre boîte noire et boîte grise ?
En boîte noire, l'auditeur attaque sans aucun accès, comme un pirate extérieur. En boîte grise, il reçoit des comptes de test pour chaque rôle, ce qui permet de trouver 2 à 3 fois plus de failles de contrôle d'accès en autant de jours.
À quelle fréquence faut-il refaire un pentest ?
Une fois par an au minimum, et après chaque évolution majeure comme une nouvelle API ou une application mobile. La plupart des banques refusent un rapport de plus de 12 mois.
Le pentest suffit-il pour être conforme vis-à-vis de l'ARTCI ?
Non, l'ARTCI contrôle surtout la déclaration ou l'autorisation des traitements de données personnelles et leur sécurisation. Le pentest est une preuve technique utile, mais la démarche ARTCI prend à elle seule 4 à 12 semaines.
Combien de temps prévoir entre le pentest et le contre-audit ?
Comptez 3 à 6 semaines selon le nombre de failles et la disponibilité de l'équipe de développement. Les failles critiques doivent être corrigées en priorité, idéalement sous 7 jours.
Peut-on faire auditer l'application avant sa mise en production ?
Oui, c'est même recommandé sur un environnement de préproduction identique à la production. Corriger une faille avant le lancement coûte en général 3 à 5 fois moins cher qu'après un incident.
Parlons de votre projet. Envoyez-nous votre rapport d'audit ou les exigences de votre banque partenaire : nous cadrons les corrections à apporter et le délai, puis nous vous transmettons un devis gratuit. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
