Le verdict en trois phrases
En 2026 à Tunis, un pentest black-box d'application web se négocie entre 6 000 et 18 000 TND, et un audit complet avec rapport OWASP entre 12 000 et 30 000 TND, retest de vérification inclus. Le délai courant est de 1 à 3 semaines selon le périmètre, et la remédiation représente en général 20 à 40 % du coût de l'audit. Un pentest annuel est devenu la norme attendue par les clients grands comptes et les assureurs cyber.
Combien coûte un pentest à Tunis en 2026
Le prix dépend surtout du type de test et de la connaissance donnée à l'auditeur. Voici les ordres de grandeur 2026 pour une application web de taille moyenne (une trentaine d'écrans, une API).
| Type de test | Connaissance fournie | Coût 2026 (TND) | Délai |
|---|---|---|---|
| Black-box | Aucune (attaquant externe) | 6 000 - 12 000 | 1-2 semaines |
| Grey-box | Comptes utilisateurs fournis | 10 000 - 18 000 | 2 semaines |
| White-box | Code source + architecture | 15 000 - 30 000 | 2-3 semaines |
| Audit complet + OWASP | White-box + rapport détaillé | 12 000 - 30 000 | 2-3 semaines |
| Retest de vérification | Re-contrôle des correctifs | Inclus - 3 000 | 3-5 jours |
Le coût par jour d'auditeur senior se situe entre 900 et 1 500 TND/jour en 2026 ; une mission type consomme 6 à 15 jours-homme selon la profondeur.
Ce que couvre le scope et les livrables
Un périmètre sérieux teste les 10 catégories OWASP et documente chaque faille avec une preuve exploitable.
| Élément du scope | Inclus | Impact sur le prix |
|---|---|---|
| Injection (SQL, NoSQL, commande) | Oui | Base |
| Authentification & gestion de session | Oui | Base |
| Contrôle d'accès (IDOR, privilèges) | Oui | +10-20 % |
| API REST / GraphQL | Selon scope | +15-25 % |
| Logique métier | Oui (grey/white) | +20 % |
| Rapport CVSS + plan de remédiation | Oui | Base |
| Retest après correctifs | Oui | Inclus |
| Attestation pour client/assureur | Oui | Base |
Le livrable central est un rapport hiérarchise (criticité critique / haute / moyenne / basse), avec preuve de concept, impact métier et recommandation concrete par vulnérabilité, plus une attestation utilisable en avant-vente.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Mini cas pratique
Nizar, CTO d'une PME SaaS à Tunis (32 personnes), doit rassurer un client bancaire avant de signer un contrat à 240 000 TND/an. Il commande un audit grey-box à 16 000 TND (10 jours), qui révèle 3 failles hautes (dont un IDOR sur les factures) et 6 moyennes. La remédiation mobilise son équipe 8 jours-homme (~5 000 TND internes), puis un retest inclus valide les correctifs. Coût total sécurité : ~21 000 TND, soit moins de 9 % de la valeur annuelle du contrat gagné grâce à l'attestation. ROI immédiat.
FAQ
À quelle fréquence refaire un pentest ? Une fois par an au minimum, et après chaque évolution majeure (nouvelle fonctionnalité sensible, refonte d'auth). Les assureurs cyber et les grands comptes exigent souvent une attestation datant de moins de 12 mois.
Black-box ou white-box : lequel choisir ? Le grey-box offre le meilleur rapport qualité/prix en 2026 (10 000-18 000 TND) : l'auditeur dispose de comptes et couvre plus de logique métier qu'un black-box, sans le coût d'une revue de code complète.
Le retest est-il vraiment inclus ? Chez un prestataire sérieux, oui : un retest des vulnérabilités corrigées est intégré à la mission, généralement sous 3 à 5 jours après livraison de vos correctifs. Exigez-le par écrit dans le devis.
Combien budgéter pour la remédiation ? Comptez 20 à 40 % du coût de l'audit selon le nombre et la gravité des failles. Pour un audit à 16 000 TND, prévoyez 3 000 à 6 500 TND de correctifs, internes ou sous-traités.
Un pentest garantit-il zéro faille ? Non. Il donne une photographie à l'instant T du niveau de risque et une feuille de route priorisée. La sécurité est un processus continu : monitoring, mises à jour et pentest annuel restent indispensables.
Parlons de votre projet. Décrivez-nous votre application (nombre d'écrans, API, comptes de test disponibles), votre échéance et votre budget indicatif, et nous cadrons le type de pentest adapté. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
