Le verdict en trois phrases
Un pentest de portail bancaire à Paris se budgète entre 8 000 et 25 000 EUR HT en 2026, selon la surface d'attaque et le niveau d'intrusion demandé. Comptez 2 à 4 semaines pour l'audit, puis 5 000 à 15 000 EUR de remédiation avant un re-test de validation généralement inclus. La vraie dépense n'est pas l'audit : c'est l'incident évité, dont le coût moyen se chiffre en centaines de milliers d'euros et en sanctions DSP2 / RGPD.
Ce que couvre réellement un pentest bancaire
Un test d'intrusion sérieux ne se limite pas à un scan automatisé. Il combine reconnaissance, exploitation manuelle des failles OWASP Top 10, tests d'authentification forte (SCA/DSP2), et revue des flux API. Le livrable central est un rapport de criticité qui hiérarchise chaque vulnérabilité (critique, élevée, moyenne, faible) avec preuve d'exploitation et plan de correction.
| Prestation 2026 | Périmètre | Prix EUR HT | Délai |
|---|---|---|---|
| Pentest black box | Portail public, sans accès | 8 000 – 12 000 | 2 semaines |
| Pentest grey box | Portail + comptes de test | 12 000 – 18 000 | 2 – 3 semaines |
| Pentest white box | Code + infra + API | 18 000 – 25 000 | 3 – 4 semaines |
| Remédiation | Correctifs prioritaires | 5 000 – 15 000 | 2 – 5 semaines |
| Re-test validation | Vérification correctifs | Inclus | 3 – 5 jours |
Criticité, conformité et priorisation
Toutes les failles ne se valent pas. Une injection permettant l'accès aux comptes clients bloque la mise en production ; un en-tête de sécurité manquant se corrige en une heure. La priorisation par criticité évite de payer une remédiation uniforme là où 20 % des correctifs neutralisent 80 % du risque.
| Criticité | Exemple | Délai correction | Bloquant prod ? |
|---|---|---|---|
| Critique | Injection SQL, bypass auth | 24 – 72 h | Oui |
| Élevée | IDOR, session non expirée | 1 semaine | Oui |
| Moyenne | CSRF partiel, verbosité erreurs | 2 – 3 semaines | Non |
| Faible | En-têtes manquants | 1 – 2 jours | Non |
| Informatif | Version serveur exposée | Optionnel | Non |
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Thomas, RSSI d'un établissement de crédit à Paris, doit valider un nouveau portail client avant lancement. Il commande un pentest grey box à 15 000 EUR HT. L'audit révèle 2 failles critiques et 4 élevées. La remédiation coûte 9 000 EUR et le re-test est inclus. Total : 24 000 EUR HT sur 6 semaines. Face à un coût moyen d'incident bancaire estimé à plus de 300 000 EUR (notification clients, sanction, remédiation d'urgence), le ROI se joue sur un seul incident évité.
FAQ
Un pentest est-il obligatoire pour un portail bancaire ? La DSP2 impose une authentification forte et une gestion documentée des risques ; un test d'intrusion régulier est la preuve attendue par l'ACPR et les auditeurs. En pratique, c'est incontournable avant mise en production.
Black box, grey box ou white box ? Le grey box (12 000 – 18 000 EUR) offre le meilleur rapport couverture/coût pour un portail : les testeurs ont des comptes de test mais explorent comme un attaquant réel. Le white box se justifie pour du code sensible.
Le re-test est-il vraiment inclus ? Chez un prestataire sérieux, un re-test de validation des correctifs critiques et élevés est inclus dans les 3 mois. Vérifiez-le au contrat : sans re-test, vous ne prouvez pas que la faille est fermée.
À quelle fréquence renouveler ? Un pentest annuel minimum, plus un test à chaque évolution majeure (nouveau flux de paiement, nouvelle API). Comptez un budget récurrent de 10 000 – 20 000 EUR HT par an.
Peut-on faire l'audit et la remédiation avec le même prestataire ? Oui, c'est même plus rapide, mais exigez une séparation claire des livrables. L'idéal : audit externe indépendant, remédiation par vos équipes ou nous, re-test par l'auditeur.
Parlons de votre projet. Décrivez-nous votre portail (technos, flux de paiement, nombre d'utilisateurs) et votre échéance de mise en production. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
