Le verdict en trois phrases
Un devis de pentest SaaS varie de 3 000 à 20 000 EUR HT en 2026 selon quatre critères : le périmètre testé, le nombre de jours-homme, la méthodologie (PTES, OWASP) et le retest inclus ou non. Un devis bas cache souvent un périmètre réduit ou un scan automatisé déguisé en pentest. Pour un SaaS qui vise des grands comptes ou une certification ISO 27001, exigez un test manuel avec rapport exploitable et retest de validation.
Décoder les lignes du devis
Comparez les devis à périmètre égal. Un pentest à 3 000 EUR sur une API seule n'a rien à voir avec un test complet front + API + mobile à 15 000 EUR.
| Élément du devis | Bas de gamme | Standard | Grand compte |
|---|---|---|---|
| Prix 2026 (EUR HT) | 3 000 - 5 000 | 6 000 - 12 000 | 12 000 - 20 000 |
| Jours-homme | 3-4 | 6-9 | 10-15 |
| Périmètre | API ou front | Front + API | Front + API + mobile |
| Méthodologie | Scan + manuel léger | OWASP + PTES | OWASP + PTES + logique métier |
| Retest | Non ou +1 500 EUR | Inclus (1 tour) | Inclus (2 tours) |
| Rapport | Liste brute | Priorise CVSS | Priorisé + plan d'action |
Pentest annuel ou bug bounty : que choisir ?
Les deux approches sont complémentaires. Le pentest donne une photo profonde à un instant T ; le bug bounty apporte une surveillance continue mais plus imprévisible en coût.
| Critère | Pentest annuel | Bug bounty |
|---|---|---|
| Coût 2026 | 6 000 - 20 000 EUR/an | Variable (prime par faille) |
| Profondeur | Élevée (logique métier) | Large mais opportuniste |
| Prédictibilité du budget | Forte | Faible |
| Exigence ISO 27001 | Bien acceptée | Complément |
| Coût par vulnérabilité critique | 1 000 - 3 000 EUR | 500 - 5 000 EUR selon prime |
| Idéal pour | Conformité, grands comptes | Surveillance continue |
Beaucoup de grands comptes exigent un pentest annuel documente dans le cadre de leur processus d'achat. Pour une certification ISO 27001, le test d'intrusion régulier fait partie des attendus.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Mini cas pratique
Antoine, CTO d'un SaaS RH à Lille, reçoit trois devis : 4 000 EUR, 9 500 EUR et 16 000 EUR. Le premier ne couvre que l'API sans retest. Il retient le devis à 9 500 EUR HT (8 jours-homme, front + API, OWASP + PTES, retest inclus). Le pentest révèle 2 failles critiques et 5 moyennes ; corrigées, elles auraient pu coûter très cher en cas de fuite de données RH. Grâce au rapport et au retest, il décroche un client grand compte exigeant une preuve de pentest annuel, contrat de 60 000 EUR/an. Le pentest représente 16 % de la valeur du contrat de première année.
FAQ
Pourquoi un écart de prix aussi large ? Parce que le périmètre et les jours-homme varient énormément. Un scan automatisé vendu comme pentest coûte peu mais détecte peu ; un test manuel sur la logique métier demande 8 à 15 jours-homme.
Le retest est-il vraiment nécessaire ? Oui : il valide que vos correctifs fonctionnent. S'il n'est pas inclus, comptez environ 1 500 EUR en 2026, à intégrer au budget dès le départ.
Pentest ou audit de code ? Ils sont complémentaires : le pentest teste l'application en fonctionnement, l'audit de code inspecte les sources. Pour un SaaS sensible, combinez les deux.
À quelle fréquence pour l'ISO 27001 ? Un pentest au moins annuel, plus après tout changement majeur, est généralement attendu. Documentez chaque campagne et sa remédiation.
Comment éviter un devis trompeur ? Exigez le périmètre précis, les jours-homme, la méthodologie et l'inclusion du retest par écrit. À périmètre égal, les prix deviennent comparables.
Parlons de votre projet. Envoyez-nous votre stack, votre périmètre (front, API, mobile) et vos exigences clients ou ISO : nous cadrons le pentest et un budget indicatif. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
