Le verdict en trois phrases
Un test d'intrusion en boîte grise d'une application web de PME coûte 4 000 à 12 000 € HT pour 3 à 8 jours d'audit couvrant le top 10 OWASP, avec un rapport exploitable par votre client. Le budget réel inclut aussi le retest (1 000 à 2 500 €) et les corrections (2 000 à 15 000 €), soit 7 000 à 30 000 € au total la première année. Un prestataire PASSI n'est obligatoire que dans certains contextes réglementés, mais il coûte 20 à 40 % de plus et rassure les donneurs d'ordre exigeants.
Les niveaux d'audit et leur prix
Ordres de grandeur 2026 en France, pour une application web métier de taille moyenne (30 à 80 écrans, 2 à 4 rôles utilisateurs, une API). Le taux journalier d'un auditeur se situe entre 1 000 et 1 500 € HT, 1 200 à 1 700 € chez un prestataire PASSI.
| Niveau d'audit | Ce que fait l'auditeur | Durée | Prix HT |
|---|---|---|---|
| Scan de vulnérabilités automatisé | Outils seuls, rapport brut, beaucoup de faux positifs | 0,5 à 1 jour | 500 à 1 500 € |
| Pentest boîte noire | Attaque sans compte, comme un inconnu sur Internet | 2 à 5 jours | 3 000 à 8 000 € |
| Pentest boîte grise | Attaque avec comptes de test par rôle, top 10 OWASP complet | 3 à 8 jours | 4 000 à 12 000 € |
| Boîte grise + API | Ajout des tests de l'API (OWASP API Security top 10) | 5 à 10 jours | 7 000 à 15 000 € |
| Boîte blanche avec revue de code | Accès au code source, analyse des points sensibles | 8 à 15 jours | 10 000 à 25 000 € |
| Même périmètre chez un prestataire PASSI | Méthodologie et rapport qualifiés ANSSI | Idem | +20 à 40 % |
Pour répondre à un grand client, la boîte grise est le bon compromis : elle teste ce qu'un utilisateur connecté malveillant pourrait faire, ce qui représente l'essentiel du risque d'une application B2B (accès aux données d'un autre client, élévation de privilèges).
Le budget complet : audit, corrections, retest
Le prix de l'audit ne représente souvent que la moitié de la dépense. Les corrections dépendent du nombre et de la gravité des failles trouvées.
| Poste | Fourchette HT | Commentaire |
|---|---|---|
| Cadrage et convention d'audit | Inclus ou 500 € | Périmètre, dates, comptes de test, autorisation écrite |
| Audit boîte grise | 4 000 à 12 000 € | 3 à 8 jours selon la taille |
| Corrections failles critiques et hautes | 1 000 à 8 000 € | Contrôle d'accès, injections, authentification |
| Corrections failles moyennes et faibles | 1 000 à 7 000 € | En-têtes de sécurité, configuration, journalisation |
| Retest des failles corrigées | 1 000 à 2 500 € | 1 à 2 jours, attestation de correction |
| Total première année | 7 000 à 30 000 € | Années suivantes souvent 30 à 50 % moins cher |
Les failles les plus fréquentes en 2026 sur les applications de PME restent le contrôle d'accès défaillant (OWASP A01), la mauvaise configuration (A05) et les composants vulnérables non mis à jour (A06).
Les livrables à exiger
Un rapport utile contient une synthèse pour la direction d'une page, la liste des vulnérabilités classées par gravité (score CVSS), la preuve d'exploitation, une recommandation de correction précise et un plan d'action priorisé. Demandez aussi une attestation après retest : c'est souvent le document que votre client veut réellement voir. Exigez enfin une réunion de restitution d'1 à 2 heures avec vos développeurs.
Mini cas pratique
Thomas, DSI d'une PME de 80 salariés à Rennes, édite un portail de suivi de commandes utilisé par ses clients. Un grand compte qui pèse 1 200 000 € de chiffre d'affaires par an exige un pentest annuel avant de renouveler le contrat.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
- Audit boîte grise : 5 jours x 1 200 € = 6 000 € HT.
- Résultat : 2 failles critiques (accès aux commandes d'un autre client), 1 haute et 5 moyennes.
- Corrections : 7 500 € HT de développement, dont 4 000 € pour refondre le contrôle d'accès.
- Retest et attestation : 1 500 € HT.
- Total : 6 000 + 7 500 + 1 500 = 15 000 € HT, soit 1,25 % du contrat annuel sécurisé.
L'année suivante, Thomas budgète 7 000 € : audit de 4 jours et retest, les corrections structurelles étant déjà faites.
FAQ
Combien coûte un test d'intrusion d'application web pour une PME ?
En boîte grise, comptez 4 000 à 12 000 € HT pour 3 à 8 jours d'audit. Avec les corrections et le retest, le budget de la première année se situe entre 7 000 et 30 000 €.
Faut-il un prestataire PASSI ?
Le label PASSI de l'ANSSI est exigé pour certains organismes publics, opérateurs régulés ou contrats qui le précisent, notamment dans le cadre de NIS2. Pour la plupart des clients privés, un prestataire expérimenté non qualifié suffit, et coûte 20 à 40 % de moins.
Un scan automatisé peut-il remplacer un pentest ?
Non, un scan à 500 à 1 500 € détecte les failles connues de configuration, mais rate les problèmes de logique métier et de contrôle d'accès. Ces derniers représentent la majorité des failles critiques sur une application B2B.
À quelle fréquence faire un pentest ?
Une fois par an et après chaque évolution majeure (nouveau module, nouvelle API, changement d'authentification). Les audits suivants coûtent souvent 30 à 50 % de moins.
Le pentest peut-il perturber la production ?
Le risque est faible si l'audit vise un environnement de préproduction identique à la production. Sinon, on fixe des créneaux et on exclut les tests de déni de service dans la convention.
Parlons de votre projet. Envoyez-nous la description de votre application (écrans, rôles, API) et l'exigence de votre client : nous cadrons un pentest boîte grise entre 4 000 et 12 000 € HT, corrections et retest chiffrés à part, en 2 à 4 semaines. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
