Le verdict en trois phrases
Pour une ETI alsacienne qui doit rassurer son assureur cyber, un pentest boîte grise de son portail client coûte 5 000 à 15 000 EUR HT pour 4 à 10 jours d'audit. Le budget réel inclut aussi les correctifs (3 000 à 12 000 EUR HT) et un contre-audit autour de 1 500 EUR HT, soit 9 500 à 28 500 EUR HT au total. Choisir un prestataire qualifié PASSI n'est obligatoire que pour certains secteurs, mais c'est l'argument le plus solide face à un assureur ou un grand donneur d'ordre.
Combien coûte un test d'intrusion web en 2026
Le prix se calcule en jours d'auditeur, entre 900 et 1 500 EUR HT par jour selon la séniorité et la qualification. Le nombre de jours dépend du périmètre : nombre de rôles utilisateurs, d'écrans, d'API exposées et de fonctions sensibles (paiement, téléversement de fichiers, export de données).
| Périmètre de l'application | Jours d'audit | Budget pentest (ordre de grandeur 2026) | Rapport livré |
|---|---|---|---|
| Site vitrine avec formulaire | 2 à 3 jours | 2 500 à 4 000 EUR HT | 1 semaine |
| Portail client, 2 rôles, 20 écrans | 4 à 5 jours | 5 000 à 7 500 EUR HT | 1 à 2 semaines |
| Portail client + API REST publique | 6 à 7 jours | 7 500 à 10 500 EUR HT | 2 semaines |
| Application métier, 5 rôles, paiement | 8 à 10 jours | 10 500 à 15 000 EUR HT | 2 à 3 semaines |
| Même périmètre, prestataire PASSI | 8 à 10 jours | 12 000 à 18 000 EUR HT | 2 à 3 semaines |
| Contre-audit après correctifs | 1 à 1,5 jour | 1 200 à 2 000 EUR HT | 3 à 5 jours |
La boîte grise, où l'auditeur dispose de comptes de test pour chaque rôle, offre le meilleur rapport coût et couverture : elle permet de tester les contrôles d'accès, première catégorie de l'OWASP Top 10. La boîte noire coûte moins cher mais passe à côté de la plupart des failles d'autorisation.
OWASP Top 10, ASVS : ce que l'auditeur vérifie
Un rapport sérieux s'appuie sur des référentiels publics, ce qui le rend lisible par un assureur ou un auditeur tiers. L'OWASP Top 10 classe les risques les plus fréquents, l'ASVS (Application Security Verification Standard) fournit une liste de contrôles vérifiables par niveau.
| Catégorie OWASP | Exemple concret sur un portail client | Fréquence observée | Coût de correction indicatif |
|---|---|---|---|
| Contrôle d'accès défaillant | Un client consulte la facture d'un autre en changeant l'identifiant dans l'URL | Très fréquente | 1 000 à 4 000 EUR HT |
| Défaillances cryptographiques | Mots de passe hachés en MD5, cookies sans attribut Secure | Fréquente | 500 à 2 000 EUR HT |
| Injection | Recherche vulnérable à l'injection SQL | Moins fréquente avec un ORM | 800 à 3 000 EUR HT |
| Mauvaise configuration | En-têtes CSP absents, mode debug actif en production | Très fréquente | 300 à 1 500 EUR HT |
| Composants vulnérables | Bibliothèque JavaScript avec CVE connue | Fréquente | 500 à 2 500 EUR HT |
| Authentification faible | Pas de limitation des tentatives, pas de MFA | Fréquente | 1 000 à 3 000 EUR HT |
Le livrable type comprend une synthèse pour la direction, chaque vulnérabilité notée selon CVSS, sa preuve d'exploitation et une recommandation chiffrable. Demandez un niveau ASVS cible (le niveau 2 convient à la plupart des portails B2B) : c'est ce qui permet à l'assureur de comparer d'une année sur l'autre.
PASSI, assureur et NIS2 : quel niveau d'exigence
La qualification PASSI délivrée par l'ANSSI est obligatoire pour les opérateurs d'importance vitale et certains marchés publics. Pour une ETI industrielle, elle reste facultative, mais de plus en plus d'assureurs cyber demandent un rapport de pentest de moins de 12 mois au renouvellement du contrat. La transposition française de la directive NIS2 élargit par ailleurs le nombre d'entités tenues de démontrer une gestion des risques, dont les tests de sécurité réguliers.
Mini cas pratique
Thomas, RSSI d'une ETI de 400 salariés près de Strasbourg (exemple illustratif), doit fournir un rapport de pentest de son portail client avant le renouvellement de sa police cyber, dont la prime annuelle est de 38 000 EUR.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
- Pentest boîte grise, 3 rôles, API incluse : 7 jours à 1 100 EUR HT, soit 7 700 EUR HT.
- Vulnérabilités relevées : 2 critiques (contrôle d'accès), 4 moyennes, 6 faibles.
- Correctifs réalisés par l'équipe de développement : 12 jours à 550 EUR HT, soit 6 600 EUR HT.
- Contre-audit : 1 500 EUR HT.
Total : 15 800 EUR HT. L'assureur maintient la couverture et accorde une baisse de prime de 10 %, soit 3 800 EUR par an : le projet est amorti en un peu plus de 4 ans sur la seule prime, sans compter le coût évité d'une fuite de données clients.
FAQ
Combien de temps dure un test d'intrusion d'application web ?
De 4 à 10 jours d'audit pour un portail client ou une application métier, auxquels s'ajoutent 1 à 3 semaines pour la rédaction du rapport. Prévoyez 4 à 6 semaines entre la commande et la livraison, selon la disponibilité des prestataires.
Faut-il obligatoirement un prestataire PASSI ?
Non pour la plupart des ETI privées, oui pour les opérateurs d'importance vitale et certains marchés publics. Un prestataire PASSI coûte en moyenne 15 à 20 % plus cher, mais son rapport est rarement contesté.
Peut-on tester en production ?
C'est possible avec des précautions, mais un environnement de préproduction identique est préférable. Il évite d'altérer des données réelles et coûte souvent moins de 200 EUR par mois d'hébergement temporaire.
À quelle fréquence refaire un pentest ?
Au minimum une fois par an, et après chaque évolution majeure (nouveau module de paiement, nouvelle API). La plupart des assureurs exigent un rapport de moins de 12 mois.
Le contre-audit est-il indispensable ?
Oui si vous devez prouver la correction des failles critiques. Pour environ 1 500 EUR HT, il transforme un rapport de vulnérabilités en attestation de remédiation.
Parlons de votre projet. Nous préparons votre application au pentest et prenons en charge les correctifs : périmètre, nombre de jours et budget de remédiation chiffrés. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
