Le verdict en trois phrases
Un test d'intrusion boîte grise d'une application web métier coûte entre 6 000 et 18 000 € HT à Paris, pour 5 à 12 jours d'audit selon la surface. Il faut prévoir 5 000 à 25 000 € de correctifs derrière, car un premier audit révèle presque toujours des failles du Top 10 OWASP. Pour convaincre un grand compte ou un acheteur public, choisissez un prestataire qualifié PASSI et exigez un retest inclus dans le devis.
Combien coûte un pentest en 2026
Le DSI d'une ETI qui expose un portail client (commandes, factures, documents contractuels) reçoit un questionnaire sécurité de 120 questions d'un grand compte. La réponse attendue : un rapport de pentest récent, des correctifs prouvés.
| Type d'audit | Jours | Prix HT 2026 (TJM 1 200 à 1 500 €) |
|---|---|---|
| Pentest boîte noire, site vitrine | 2 à 3 | 2 500 à 4 500 € |
| Pentest boîte grise, portail client simple | 5 à 7 | 6 000 à 10 500 € |
| Pentest boîte grise, application métier avec rôles multiples | 8 à 12 | 10 000 à 18 000 € |
| Audit API REST ou GraphQL ajouté | 2 à 4 | 2 500 à 6 000 € |
| Revue de code ciblée (authentification, droits) | 3 à 5 | 4 000 à 7 500 € |
| Retest après correctifs | 1 à 2 | Souvent inclus, sinon 1 200 à 3 000 € |
| Audit de configuration cloud (AWS, Azure, OVH) | 2 à 4 | 2 500 à 6 000 € |
La boîte grise (l'auditeur dispose de comptes utilisateurs de test) est le bon compromis : elle teste les escalades de privilèges et les accès aux données d'autres clients, les failles les plus graves pour un portail B2B.
Les correctifs : le vrai budget
| Faille OWASP fréquente | Gravité typique | Coût de correction indicatif |
|---|---|---|
| Contrôle d'accès défaillant (IDOR) | Critique | 2 000 à 8 000 € |
| Injection SQL ou NoSQL | Critique | 1 500 à 6 000 € |
| Gestion des sessions faible | Élevée | 1 000 à 4 000 € |
| Composants obsolètes vulnérables | Élevée | 1 500 à 7 000 € |
| En-têtes de sécurité et CSP absents | Moyenne | 500 à 1 500 € |
| Journalisation insuffisante | Moyenne | 1 500 à 4 000 € |
Sur une application développée sans revue de sécurité, comptez en moyenne 8 à 15 vulnérabilités, dont 1 à 3 critiques. Si l'application a été maintenue par plusieurs prestataires successifs, le budget correctif dépasse souvent 15 000 €.
PASSI ou non, et quels livrables exiger
La qualification PASSI de l'ANSSI n'est obligatoire que pour certains opérateurs régulés, mais elle rassure un acheteur public ou un grand compte. Un prestataire PASSI facture en général 10 à 20 % plus cher. Exigez dans tous les cas : une synthèse dirigeants de 2 pages, une fiche par vulnérabilité avec score CVSS et preuve d'exploitation, des recommandations priorisées, et une attestation de retest datée.
Mini cas pratique
Nathalie, DSI d'une ETI de distribution de matériel médical à Paris (450 salariés), doit fournir un rapport de sécurité avant de signer un contrat de 1,2 M€ par an avec un groupe hospitalier.
- Pentest boîte grise PASSI, 9 jours : 13 500 € HT, retest inclus.
- Correctifs de 2 failles critiques et 6 moyennes : 11 000 € HT.
- Total : 24 500 € HT, soit 2 % de la première année de contrat.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Sans rapport, le contrat n'était pas signé. Le ratio coût/enjeu reste inférieur à 2,5 %, ordre de grandeur 2026.
FAQ
Combien coûte un test d'intrusion d'application web à Paris ?
De 6 000 à 18 000 € HT en boîte grise pour 5 à 12 jours. Un site vitrine simple démarre autour de 2 500 €.
Faut-il obligatoirement un prestataire PASSI ?
Non pour la majorité des entreprises privées, mais c'est un argument fort face à un acheteur public. Comptez 10 à 20 % de surcoût.
Combien de temps pour corriger les failles ?
Entre 2 et 6 semaines selon la gravité, pour un budget de 5 000 à 25 000 €. Les failles critiques doivent être traitées en priorité sous 15 jours.
À quelle fréquence refaire un pentest ?
Une fois par an au minimum, et après chaque évolution majeure. Un retest ciblé coûte 1 200 à 3 000 € si non inclus.
Le pentest perturbe-t-il la production ?
Il est recommandé de tester un environnement de préproduction identique. À défaut, les tests destructifs sont exclus et planifiés hors heures ouvrées.
Parlons de votre projet. Décrivez-nous votre application, ses rôles utilisateurs et l'échéance de votre client : nous chiffrons l'audit, les correctifs probables et un planning de 4 à 8 semaines. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
