Le verdict en trois phrases
Un test d'intrusion en boîte grise d'une application web métier exposée à vos clients coûte en ordre de grandeur 2026 4 000 à 12 000 EUR HT à Rennes, pour 5 à 10 jours d'audit. Un prestataire qualifié PASSI par l'ANSSI facture 20 à 40 % de plus, ce qui se justifie si vos clients, un appel d'offres public ou une certification l'exigent. Budgétez dès maintenant 2 000 à 8 000 EUR de correctifs et une contre-vérification, sinon le rapport reste un document sans effet.
Boîte noire, grise ou blanche : quel périmètre acheter
Le mode d'audit conditionne à la fois le prix et la valeur du rapport. En boîte noire, l'auditeur n'a aucun accès ; en boîte grise, il dispose de comptes utilisateurs de différents rôles ; en boîte blanche, il lit aussi le code source. Pour une application métier avec espace client, la boîte grise offre le meilleur rapport entre coût et couverture, car la majorité des failles graves (contrôle d'accès, élévation de privilèges) ne se voient qu'une fois connecté.
| Type d'audit | Accès fourni | Durée typique | Ordre de grandeur 2026 (EUR HT) | Quand le choisir |
|---|---|---|---|---|
| Boîte noire | URL seule | 3 à 5 jours | 3 000 à 6 000 | Vérifier l'exposition externe |
| Boîte grise | Comptes de 2 à 3 rôles | 5 à 10 jours | 4 000 à 12 000 | Application métier avec espace client |
| Boîte blanche | Comptes et code source | 8 à 15 jours | 8 000 à 18 000 | Données sensibles, finance, santé |
| Audit d'API seule | Documentation OpenAPI et jetons | 3 à 6 jours | 3 000 à 7 000 | Backend mobile ou API partenaires |
| Contre-audit des correctifs | Liste des failles | 1 à 2 jours | 800 à 2 000 | Systématique après corrections |
| Prestataire qualifié PASSI | Selon périmètre | Idem | +20 à 40 % | Exigence contractuelle ou réglementaire |
Le taux journalier d'un auditeur senior en Bretagne se situe autour de 900 à 1 300 EUR HT. Méfiez-vous des offres sous 2 500 EUR pour une application complète : elles se limitent souvent à un scan automatisé rebaptisé pentest.
Ce que le rapport doit couvrir
Le référentiel de base reste l'OWASP Top 10 (version 2021, révision 2025 en cours d'adoption), complété par l'OWASP ASVS pour fixer un niveau d'exigence. Un rapport exploitable classe chaque faille par criticité (score CVSS), décrit la preuve d'exploitation et propose une correction concrète.
| Catégorie OWASP | Exemple sur une application métier | Fréquence observée (ordre de grandeur) | Coût de correction indicatif (EUR HT) |
|---|---|---|---|
| Contrôle d'accès défaillant | Un client voit le dossier d'un autre en changeant un identifiant | Très fréquente | 1 000 à 3 000 |
| Défauts cryptographiques | Mots de passe mal hachés, TLS mal configuré | Fréquente | 300 à 1 200 |
| Injection | Recherche ou filtre vulnérable à l'injection SQL | Moyenne | 500 à 2 000 |
| Mauvaise configuration | En-têtes de sécurité absents, mode debug actif | Très fréquente | 300 à 1 000 |
| Composants vulnérables | Bibliothèques non mises à jour | Fréquente | 500 à 2 500 |
| Authentification faible | Pas de limite de tentatives, sessions trop longues | Fréquente | 600 à 2 000 |
Un premier pentest sur une application jamais auditée remonte typiquement 8 à 20 constats, dont 1 à 4 critiques ou élevés. C'est de là que vient la fourchette de 2 000 à 8 000 EUR de correctifs.
Préparer l'audit pour payer moins
Quatre préparations réduisent la durée facturée et améliorent la qualité du rapport :
- Un environnement de préproduction identique à la production, avec des données fictives, pour que l'auditeur puisse tester sans risque.
- Des comptes de test pour chaque rôle (client, gestionnaire, administrateur) livrés avant le jour 1.
- Une convention d'audit signée : périmètre, dates, adresses IP sources, contact d'urgence.
- Un scan de dépendances et une revue des en-têtes HTTP réalisés en amont par l'équipe de développement, pour que l'auditeur consacre ses jours aux failles logiques.
Mini cas pratique
Nolwenn, RSSI d'une entreprise de services numériques à Rennes (personnage illustratif), doit faire auditer une application de suivi de contrats utilisée par 140 clients avant sa mise en production. Elle compare deux offres.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
- Offre A, prestataire non qualifié : 7 jours en boîte grise à 950 EUR, soit 6 650 EUR HT.
- Offre B, prestataire qualifié PASSI : 7 jours à 1 250 EUR, soit 8 750 EUR HT, exigé par deux clients grands comptes dans leur plan d'assurance sécurité.
Les deux grands comptes représentent 180 000 EUR de chiffre d'affaires annuel. Le surcoût de 2 100 EUR (environ 32 %) représente donc 1,2 % du chiffre d'affaires qu'il sécurise. Elle ajoute 4 500 EUR de correctifs et 1 500 EUR de contre-audit : budget total de 14 750 EUR HT, planifié sur 6 semaines avant le lancement.
FAQ
Un scan automatisé suffit-il avant une mise en production ?
Non, un scanner détecte surtout les failles connues et les mauvaises configurations, soit une partie limitée des risques. Les failles de contrôle d'accès, qui représentent la catégorie la plus fréquente, nécessitent un auditeur humain sur 5 jours ou plus.
À quelle fréquence refaire un pentest ?
Un audit par an et après chaque évolution majeure (nouveau module de paiement, nouvelle API) est la pratique courante. Pour une application à forte exposition, un budget annuel de 6 000 à 15 000 EUR HT couvre l'audit et le contre-audit.
Quelle est la différence entre PASSI et un prestataire classique ?
La qualification PASSI, délivrée par l'ANSSI, garantit une méthodologie et des auditeurs évalués. Elle est obligatoire pour certains opérateurs régulés et facturée 20 à 40 % plus cher.
Combien de temps entre la commande et le rapport ?
Comptez 2 à 4 semaines de délai de planification chez un cabinet rennais, puis 5 à 10 jours d'audit et 3 à 5 jours ouvrés de rédaction. Anticipez donc le pentest au moins 6 semaines avant la date de lancement.
Qui corrige les failles trouvées ?
L'équipe de développement de l'application, pas l'auditeur, pour garder l'indépendance. Prévoyez 3 à 10 jours de développement selon la criticité, puis un contre-audit de 1 à 2 jours.
Parlons de votre projet. Partagez le périmètre de votre application et votre date de lancement : nous chiffrons la préparation à l'audit, les correctifs et la remise en conformité avec un budget indicatif et un planning. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
