Le verdict en trois phrases
Un pentest (test d'intrusion) d'application web coûte entre 4 000 et 15 000 EUR HT en 2026, selon le périmètre testé, le nombre de rôles utilisateurs et l'inclusion ou non d'un retest. C'est l'assurance la moins chère du projet face au coût d'une faille : violation RGPD (jusqu'à 4 % du CA mondial), interruption de service et perte de confiance client. Pour un besoin continu, le bug bounty complète l'audit ponctuel, et une certification ISO 27001 en option ouvre les portes des grands comptes.
Ce que couvre un pentest et son prix
Un pentest sérieux ne se limite pas à un scan automatique : un consultant exploité manuellement les vulnérabilités, comme le ferait un attaquant réel. Le périmètre détermine directement le prix.
| Type d'audit | Périmètre | Durée | Coût HT 2026 |
|---|---|---|---|
| Scan automatisé | Surface publique | 1-2 jours | 1 500-3 000 EUR |
| Pentest boîte noire | App sans accès | 3-5 jours | 4 000-7 000 EUR |
| Pentest boîte grise | App + comptes test | 5-8 jours | 7 000-11 000 EUR |
| Pentest boîte blanche | App + code source | 8-12 jours | 11 000-15 000 EUR |
| Retest de correction | Vérif des fixes | 1-2 jours | 1 500-3 000 EUR |
Le pentest boîte grise est le meilleur rapport qualité/prix pour la plupart des SaaS : le testeur dispose de comptes et couvre les failles d'autorisation, souvent les plus graves.
Le coût d'une faille vs le coût de l'audit
Le calcul est brutal. Un audit à 9 000 EUR paraît cher jusqu'à ce qu'on chiffre l'incident qu'il prévient.
| Poste en cas d'incident | Impact estimé 2026 |
|---|---|
| Amende RGPD (CNIL / autorité) | 20 000 à 4 % du CA mondial |
| Notification & remédiation d'urgence | 15 000-60 000 EUR |
| Interruption de service (par jour) | 5 000-40 000 EUR |
| Perte de clients (churn) | 5-20 % du portefeuille |
| Atteinte réputationnelle | Difficilement chiffrable |
Face à ces montants, un pentest annuel à 9 000 EUR représente une fraction du risque couvert. Les contrats grand compte l'exigent d'ailleurs contractuellement.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Mini cas pratique
un DSI d'une scale-up bordelaise (SaaS RH, 12 000 utilisateurs) doit prouver sa sécurité avant de signer un contrat à 180 000 EUR/an avec une banque. Il commande un pentest boîte grise à 9 500 EUR HT plus un retest à 2 000 EUR. L'audit révèle 2 failles critiques d'autorisation permettant d'accéder aux fiches de paie d'autres sociétés. Corrigées en 3 semaines, elles auraient pu déclencher une violation RGPD massive. L'investissement de 11 500 EUR sécurise un contrat de 180 000 EUR : le ROI est immédiat, sans compter les autres prospects grand compte débloqués.
FAQ
Boîte noire, grise ou blanche : laquelle choisir ? La boîte grise (7 000-11 000 EUR) est le meilleur compromis : le testeur a des comptes et trouve les failles d'autorisation. La boîte blanche, avec code source, est réservée aux applications très sensibles.
Le retest est-il obligatoire ? Fortement recommandé : il vérifie que vos corrections fonctionnent réellement et n'introduisent pas de nouvelles failles. Comptez 1 500-3 000 EUR, souvent exigé par les clients grand compte.
Audit ponctuel ou bug bounty ? Le pentest donne une photo à un instant T ; le bug bounty offre une surveillance continue (à partir de 500-2 000 EUR/mois de récompenses). Les deux sont complémentaires.
Faut-il une certification ISO 27001 ? Pas toujours, mais elle devient un argument commercial fort pour les grands comptes et le secteur public. Comptez 15 000-40 000 EUR pour la première certification, au-delà du simple pentest.
À quelle fréquence auditer ? Au minimum une fois par an et après chaque changement majeur (nouvelle fonctionnalité sensible, migration). Les cybermenaces évoluent en continu.
Parlons de votre projet. Décrivez votre application, le nombre de rôles utilisateurs et l'échéance (contrat, certification) : nous cadrons le type de pentest et le budget. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
