Le verdict en trois phrases
Un pentest applicatif pour une ETI à Toulouse coûte en 2026 entre 6 000 et 20 000 EUR selon la surface à tester, avec rapport, plan de remédiation et re-test inclus. Le référentiel de base reste l'OWASP Top 10 (injections, authentification, contrôle d'accès, exposition de données). Comptez 2 à 3 semaines de mission : un investissement modeste face au coût d'un incident (arrêt de service, exfiltration de données, sanction CNIL).
Grille de prix d'un pentest en 2026
Le prix dépend du périmètre, de la profondeur (boîte noire, grise, blanche) et du nombre de rôles à tester.
| Type d'audit | Périmètre type | Ordre de grandeur 2026 (EUR) | Délai |
|---|---|---|---|
| Pentest applicatif standard | 1 app web, 2-3 rôles | 6 000 - 12 000 | 2 semaines |
| Pentest approfondi | App + API + back-office | 12 000 - 20 000 | 3 semaines |
| Audit de code (revue) | Revue sécurité du code source | 8 000 - 18 000 | 2-3 semaines |
| Audit d'architecture | Cloud, réseau, segmentation | 7 000 - 15 000 | 2 semaines |
| Test d'intrusion externe | Périmètre expose Internet | 5 000 - 12 000 | 1-2 semaines |
| Re-test post-correctifs | Vérification des remédiations | souvent inclus | 2-4 jours |
Une ETI qui met en production une nouvelle application choisit généralement le pentest applicatif approfondi (app + API), le back-office étant souvent là où se cachent les failles de contrôle d'accès.
Ce que couvre l'OWASP Top 10
Le rapport classe les vulnérabilités par criticité avec un plan d'action. Voici les catégories les plus souvent trouvées et leur impact.
| Catégorie OWASP | Exemple concret | Impact potentiel |
|---|---|---|
| Contrôle d'accès défaillant | Accès à des données d'un autre compte | Fuite de données clients |
| Injection (SQL, etc.) | Requête non filtrée | Vol/altération de base |
| Défauts cryptographiques | Données sensibles en clair | Exposition RGPD |
| Mauvaise config de sécurité | Header manquant, service exposé | Prise de contrôle |
| Authentification faible | Pas de limite de tentatives | Comptes compromis |
| Composants vulnérables | Librairie obsolète | Exploitation connue |
Chaque vulnérabilité est notée (critique / élevé / moyen / faible) avec une recommandation actionnable, ce qui permet de prioriser les corrections.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Mini cas pratique
Nadia, RSSI d'une ETI industrielle de 400 salariés à Toulouse. Avant de mettre en production un portail client gérant 15 000 comptes, elle commande un pentest approfondi (budget retenu : 15 000 EUR). L'audit révèle 2 failles critiques (contrôle d'accès et injection) et 5 moyennes. Correction puis re-test inclus. En face, une exfiltration des 15 000 comptes aurait déclenche notification CNIL, frais de réponse à incident, et une sanction potentielle : rien qu'en gestion de crise et perte de confiance, l'ordre de grandeur dépasse 150 000 - 300 000 EUR. Le ratio coût d'audit / risque évité est de l'ordre de 1 pour 10 à 1 pour 20.
FAQ
Boîte noire, grise ou blanche : quelle différence de prix ? En boîte blanche (avec accès au code et aux comptes), l'auditeur va plus vite et plus profond, donc meilleur rapport qualité/prix. La boîte noire simule un attaquant externe mais couvre moins de surface à budget égal.
Le re-test est-il vraiment inclus ? Chez un prestataire sérieux, oui : après vos correctifs, une vérification confirme que les failles sont bien fermées. Exigez-le dans le devis, c'est ce qui valide réellement la remise en sécurité.
À quelle fréquence refaire un pentest ? Au minimum une fois par an et systématiquement avant chaque mise en production majeure ou changement d'architecture. Comptez 6 000 à 20 000 EUR par campagne selon le périmètre.
Un audit garantit-il l'absence totale de faille ? Non : il réduit fortement le risque en trouvant les vulnérabilités connues et exploitables au moment du test. La sécurité est un processus continu, pas un certificat définitif.
Faut-il prévenir l'hébergeur avant les tests ? Oui, une autorisation écrite et une fenêtre de test sont indispensables, surtout sur des infrastructures cloud, pour éviter tout blocage automatique pendant la mission.
Parlons de votre projet. Précisez le périmètre à tester (app, API, back-office), le nombre de rôles et votre date de mise en production. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
