Le verdict en trois phrases
Pour une PME qui exploite un portail client ou un SaaS, un test d'intrusion web coûte 4 000 à 15 000 EUR HT en 2026, soit 3 à 10 jours d'audit en boîte grise à 900 à 1 500 EUR par jour. Il faut ajouter un retest de 1 000 à 3 000 EUR et, surtout, le budget de correction, souvent équivalent au prix de l'audit. Un prestataire qualifié PASSI coûte 15 à 30 % de plus mais devient indispensable si votre client est un opérateur régulé ou une administration.
Combien coûte un pentest selon le périmètre
Le prix dépend du nombre de jours, lui-même dicté par la taille de l'application : nombre de rôles utilisateurs, de formulaires, d'endpoints d'API et de fonctions sensibles (paiement, export de données, administration). Voici les fourchettes observées en France (ordre de grandeur 2026) :
| Périmètre type | Jours d'audit | Prix HT | Exemple |
|---|---|---|---|
| Site vitrine avec formulaire et back-office | 2 à 3 jours | 2 500 à 4 500 EUR | CMS, espace d'administration |
| Portail client simple (2 rôles) | 3 à 5 jours | 4 000 à 7 000 EUR | espace adhérent, suivi de dossiers |
| SaaS B2B (3 à 5 rôles, API) | 5 à 8 jours | 6 500 à 12 000 EUR | logiciel RH, CRM sectoriel |
| SaaS avec paiement et multi-tenant | 8 à 10 jours | 10 000 à 15 000 EUR | marketplace, fintech |
| Application mobile + API associée | + 3 à 5 jours | + 3 500 à 7 000 EUR | app iOS et Android |
| Retest après corrections | 1 à 2 jours | 1 000 à 3 000 EUR | vérification des failles corrigées |
La boîte grise (l'auditeur dispose de comptes de test pour chaque rôle) offre le meilleur rapport couverture/prix. La boîte noire simule un attaquant externe mais laisse des zones inexplorées ; la boîte blanche, avec accès au code, ajoute 30 à 50 % au budget.
Les vulnérabilités OWASP les plus fréquentes et leur coût de correction
Le référentiel OWASP Top 10 structure la plupart des rapports. Sur les applications de PME, certaines failles reviennent presque à chaque audit.
| Vulnérabilité (OWASP 2021) | Fréquence en audit PME | Gravité typique | Coût de correction estimé |
|---|---|---|---|
| A01 Contrôle d'accès défaillant (IDOR) | 1 audit sur 2 | critique | 1 500 à 6 000 EUR |
| A05 Mauvaise configuration de sécurité (en-têtes, CORS) | 3 audits sur 4 | moyenne | 500 à 1 500 EUR |
| A07 Faiblesses d'authentification (pas de MFA, sessions longues) | 1 audit sur 2 | élevée | 1 500 à 4 000 EUR |
| A03 Injection (SQL, XSS stockée) | 1 audit sur 4 | critique | 1 000 à 5 000 EUR |
| A06 Composants vulnérables ou obsolètes | 2 audits sur 3 | moyenne à élevée | 1 000 à 8 000 EUR |
| A09 Journalisation et supervision insuffisantes | 2 audits sur 3 | moyenne | 2 000 à 6 000 EUR |
| A10 SSRF sur import d'URL ou webhooks | 1 audit sur 10 | élevée | 800 à 3 000 EUR |
Règle pratique : prévoyez un budget de correction égal à 80 à 120 % du prix de l'audit si l'application n'a jamais été testée, et 30 à 50 % pour un deuxième audit annuel.
PASSI ou non, et que doit contenir le rapport
La qualification PASSI délivrée par l'ANSSI garantit la méthode et la confidentialité. Elle est exigée pour les opérateurs d'importance vitale, souvent demandée par les banques, les hôpitaux et l'administration, et facultative pour un client privé classique. Un prestataire non qualifié mais expérimenté (certifications OSCP, OSWE) facture en moyenne 900 à 1 200 EUR par jour, contre 1 200 à 1 500 EUR pour un PASSI.
Un bon rapport contient une synthèse managériale lisible par un grand compte ou un assureur, une liste des failles notées en CVSS 3.1, des preuves d'exploitation, des recommandations de correction priorisées et une attestation de retest. Exigez aussi une restitution orale d'une heure avec vos développeurs.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Nicolas, DSI d'un éditeur de logiciel RH de 30 salariés à Lille, doit fournir un rapport de pentest pour signer un contrat de 180 000 EUR par an avec un groupe de distribution. Il commande 6 jours en boîte grise à 1 100 EUR, soit 6 600 EUR HT. Le rapport relève 2 failles critiques (IDOR sur l'export de fiches de paie, absence de MFA administrateur) et 5 moyennes.
La correction mobilise 8 jours de développement à 600 EUR, soit 4 800 EUR, puis un retest de 1 500 EUR. Coût total : 12 900 EUR, soit 7 % de la première année du contrat. Bonus : son assureur cyber réduit la prime annuelle de 10 %, soit 600 EUR d'économie sur une prime de 6 000 EUR.
FAQ
Quel est le prix minimum d'un test d'intrusion web sérieux ?
Environ 2 500 à 4 000 EUR HT pour 2 à 3 jours sur un périmètre simple. En dessous, il s'agit le plus souvent d'un scan automatisé, insuffisant pour un grand compte.
À quelle fréquence faut-il refaire un pentest ?
Une fois par an et après chaque évolution majeure (nouveau module de paiement, nouvelle API). Beaucoup d'assureurs cyber demandent un rapport de moins de 12 mois.
Un scan automatisé suffit-il ?
Non. Un scanner détecte 30 à 40 % des failles, surtout de configuration, mais rate les défauts de contrôle d'accès, qui représentent la première cause de fuite de données.
Faut-il tester en production ?
De préférence sur une préproduction identique, avec des données fictives. Un test en production reste possible avec une fenêtre convenue et une sauvegarde préalable.
Combien de temps entre la commande et le rapport ?
Comptez 2 à 4 semaines de délai de planification, puis 3 à 10 jours d'audit et 5 jours ouvrés pour le rapport.
Parlons de votre projet. Décrivez votre application (rôles, API, paiement) et l'exigence de votre client ou assureur pour un périmètre de pentest chiffré et un budget de correction réaliste. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
