Le verdict en trois phrases
À Paris en 2026, un test d'intrusion en boîte grise d'une application web se facture en ordre de grandeur 6 000 à 15 000 EUR HT pour 5 à 10 jours-homme, selon le nombre de rôles, d'API et d'intégrations. Le budget réel d'un lancement inclut aussi la correction des vulnérabilités (3 000 à 12 000 EUR) et un contre-audit (1 500 à 3 000 EUR), sans lequel le rapport remis au client reste une liste de failles ouvertes. Si vos clients sont des administrations ou des opérateurs sensibles, exigez un prestataire qualifié PASSI par l'ANSSI, plus cher d'environ 20 à 30 % mais souvent imposé dans les appels d'offres.
Quel périmètre tester avant le lancement
Le CTO qui reçoit une exigence de rapport de pentest d'un grand compte doit d'abord fixer le périmètre. Un pentest mal cadré coûte cher et rassure peu : le client lira le rapport, notamment la section « périmètre et limites ».
| Élément du périmètre | Exemple | Impact sur le nombre de jours |
|---|---|---|
| Application web principale | Front React, back Node ou Python | 3 à 5 jours |
| API publique ou mobile | 40 à 120 endpoints REST ou GraphQL | +1 à 3 jours |
| Rôles et multi-tenant | Admin, manager, utilisateur, cloisonnement entre clients | +1 à 2 jours |
| Authentification | SSO SAML, OAuth, MFA, réinitialisation de mot de passe | +0,5 à 1 jour |
| Infrastructure exposée | Cloud, buckets, en-têtes, TLS, sous-domaines | +1 jour |
| Rapport et restitution | Rapport technique, synthèse dirigeants, réunion | 1 jour |
La boîte grise (le testeur dispose de comptes utilisateurs de chaque rôle) est le meilleur compromis avant lancement : elle couvre les risques d'élévation de privilèges et de fuite entre clients, ceux qui inquiètent le plus un acheteur B2B. La boîte noire teste surtout la surface publique, la boîte blanche ajoute une revue de code et coûte davantage.
Le référentiel à citer dans le cahier des charges est l'OWASP Top 10 (contrôle d'accès défaillant, injections, mauvaise configuration, composants vulnérables) complété par l'OWASP API Security Top 10 si votre produit expose une API.
Le budget complet, de l'audit au rapport propre
| Poste | Ordre de grandeur 2026 (Paris, HT) | Délai |
|---|---|---|
| Pentest boîte noire, surface publique | 4 000 à 7 000 EUR | 3 à 4 jours |
| Pentest boîte grise, application et API | 6 000 à 15 000 EUR | 5 à 10 jours |
| Pentest boîte grise par prestataire PASSI | 8 000 à 19 000 EUR | 5 à 10 jours |
| Correction des vulnérabilités par l'équipe ou une agence | 3 000 à 12 000 EUR | 1 à 4 semaines |
| Contre-audit ciblé sur les failles corrigées | 1 500 à 3 000 EUR | 1 à 2 jours |
| Scan automatisé continu (outil SaaS) | 100 à 500 EUR par mois | En continu |
Prévoyez un délai total de 4 à 8 semaines : 1 à 3 semaines d'attente pour un créneau chez un bon cabinet, une à deux semaines d'audit et de rapport, puis le temps de correction et le contre-audit. Si la signature du grand compte est prévue dans un mois, réservez le prestataire dès aujourd'hui.
Du côté de Kolonell, la correction des vulnérabilités sur une application que nous développons ou reprenons, et l'accompagnement du pentest, sont chiffrés sur devis après lecture du rapport. Les corrections de faible gravité peuvent entrer dans un contrat de maintenance mensuel (35 000, 75 000 ou 120 000 FCFA par mois, soit 53, 114 ou 183 EUR).
Lire le rapport comme le fera votre client
Un rapport de pentest classe les vulnérabilités par gravité, souvent selon le score CVSS. L'acheteur regardera surtout les failles critiques et élevées encore ouvertes au moment de la signature.
| Gravité | Exemple typique | Attente du client grand compte |
|---|---|---|
| Critique | Accès aux données d'un autre client (IDOR) | Corrigée et contre-auditée avant signature |
| Élevée | Injection SQL, contournement du MFA | Corrigée avant mise en production |
| Moyenne | Absence de limitation de tentatives de connexion | Plan de correction daté sous 30 à 90 jours |
| Faible | En-têtes de sécurité manquants | Corrigée lors de la prochaine version |
| Informative | Version de bibliothèque visible | Pas d'exigence |
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Julien Martin, CTO d'une scale-up SaaS RH de 40 personnes à Paris, doit remettre un rapport de pentest à un groupe de distribution avant la signature d'un contrat de 180 000 EUR par an. Il choisit une boîte grise de 7 jours à 1 300 EUR par jour, soit 9 100 EUR HT. Le rapport relève 1 faille critique, 3 élevées et 6 moyennes.
Les corrections mobilisent deux développeurs pendant 6 jours, soit 12 jours à 500 EUR de coût chargé : 6 000 EUR. Le contre-audit coûte 2 000 EUR. Total : 17 100 EUR HT, soit 9,5 % de la première année du contrat, et le même rapport servira pour les trois prochains appels d'offres de l'année.
FAQ
Combien coûte un pentest d'application web à Paris en 2026 ?
En ordre de grandeur, 6 000 à 15 000 EUR HT pour un audit en boîte grise de 5 à 10 jours. Le tarif journalier des cabinets parisiens se situe entre 1 100 et 1 600 EUR HT.
Faut-il un prestataire PASSI ?
C'est obligatoire pour certains clients publics et opérateurs d'importance vitale, et souvent demandé par les grands comptes du secteur bancaire. Comptez 20 à 30 % de plus qu'un cabinet non qualifié.
Combien de temps avant le lancement faut-il planifier le pentest ?
Idéalement 6 à 8 semaines avant la mise en production ou la signature. Cela laisse 1 à 3 semaines pour obtenir un créneau, 1 à 2 semaines d'audit et le temps des corrections.
Un scan automatisé peut-il remplacer le pentest ?
Non pour un grand compte : un scanner à 100 à 500 EUR par mois détecte les failles connues, mais rarement les erreurs de logique métier ou de cloisonnement entre clients. Il complète utilement le pentest annuel.
À quelle fréquence refaire un pentest ?
Une fois par an au minimum, et après toute refonte majeure de l'authentification ou des droits. Beaucoup d'éditeurs SaaS budgètent 10 000 à 20 000 EUR par an pour ce poste.
Parlons de votre projet. Envoyez-nous votre rapport de pentest ou votre périmètre : nous planifions les corrections et le contre-audit avant votre date de signature. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
