Le verdict en trois phrases
Quand un grand compte exige une preuve de sécurité avant de signer, un pentest en boîte grise de 3 à 8 jours suffit dans la plupart des cas, pour 4 000 à 12 000 EUR HT à Strasbourg. Demandez un rapport structuré selon l'OWASP ASVS et vérifiez si votre client exige un prestataire qualifié PASSI par l'ANSSI, car cela change la liste des candidats et le prix. Budgétez aussi les correctifs, souvent 15 à 30 % du coût du test, et un retest pour obtenir un rapport final propre.
Quel type de test pour quel besoin
Un dirigeant strasbourgeois qui vend une application métier à un industriel ou à une collectivité reçoit tôt ou tard un questionnaire sécurité, puis la demande d'un rapport d'audit récent. Le choix du type de test dépend de ce que le client veut prouver.
| Type de test | Ce que sait l'auditeur | Durée typique | Prix (ordre de grandeur 2026, marché Grand Est) |
|---|---|---|---|
| Boîte noire | Uniquement l'URL | 3 à 5 jours | 3 500 à 8 000 EUR HT |
| Boîte grise | Comptes de test par rôle | 3 à 8 jours | 4 000 à 12 000 EUR HT |
| Boîte blanche avec revue de code | Code source et architecture | 8 à 15 jours | 10 000 à 25 000 EUR HT |
| Scan automatisé seul | Aucun accès particulier | Moins d'un jour | Quelques centaines d'euros |
| Test API seul | Documentation et jetons d'accès | 2 à 4 jours | 3 000 à 7 000 EUR HT |
| Retest après correctifs | Rapport initial | 0,5 à 2 jours | 500 à 2 000 EUR HT, parfois inclus |
La boîte grise est le meilleur rapport coût et couverture pour une application avec plusieurs rôles (administrateur, client, partenaire) : l'auditeur teste ce qu'un utilisateur connecté malveillant peut faire, ce qui correspond aux attaques réelles les plus fréquentes sur une application B2B.
PASSI, OWASP ASVS et ce que contient un bon rapport
La qualification PASSI est délivrée par l'ANSSI à des prestataires d'audit dont les méthodes et les auditeurs ont été évalués. Elle est exigée pour certains opérateurs et souvent demandée par les grands comptes publics ou industriels. Un prestataire qualifié coûte en général plus cher et son planning est plus chargé : interrogez votre client avant de consulter.
L'OWASP ASVS est un référentiel de contrôles de sécurité applicative organisé en niveaux. Demander au prestataire de structurer son rapport selon l'ASVS rend le résultat lisible pour l'équipe sécurité de votre client.
| Élément du rapport | Pourquoi il compte |
|---|---|
| Synthèse pour la direction | Lisible par l'acheteur sans compétence technique |
| Périmètre exact et dates | Prouve que la version testée est celle livrée |
| Vulnérabilités classées par criticité | Priorise les correctifs |
| Preuves d'exploitation | Évite les débats sur la réalité d'une faille |
| Recommandations de correction | Chiffrables par l'équipe de développement |
| Correspondance avec l'OWASP ASVS | Parle le langage de l'équipe sécurité du client |
| Résultat du retest | Montre que les failles critiques sont fermées |
Côté développement, les prix de Kolonell pour la maintenance applicative (Standard 114 EUR, Premium 183 EUR par mois) couvrent les mises à jour de sécurité courantes ; les correctifs issus d'un pentest sont chiffrés à part, selon le rapport. Kolonell ne réalise pas lui-même de pentest qualifié PASSI : nous travaillons avec le prestataire d'audit que vous ou votre client choisissez.
Mini cas pratique
Exemple type : Céline, dirigeante d'un éditeur de logiciel de gestion de maintenance à Strasbourg, doit fournir un rapport de pentest de moins de 12 mois pour signer un contrat de 180 000 EUR sur 3 ans avec un industriel rhénan.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Elle commande un pentest en boîte grise de 5 jours à 7 500 EUR HT. Le rapport relève 2 failles critiques (contrôle d'accès entre clients), 4 moyennes et 6 faibles. Les correctifs représentent 4 jours de développement, environ 2 000 EUR, soit 27 % du coût du test, et le retest d'une journée coûte 1 200 EUR. Total : 10 700 EUR, soit 6 % de la valeur du contrat, avec un rapport final propre réutilisable pour les prochains appels d'offres pendant un an.
FAQ
Combien de temps avant la mise en production faut-il planifier le pentest ?
Prévoyez 4 à 6 semaines : 2 à 3 semaines pour obtenir un créneau, 1 semaine de test, puis 1 à 2 semaines de correctifs et retest. Les prestataires qualifiés PASSI ont souvent des délais plus longs.
Le pentest doit-il se faire en production ?
De préférence sur un environnement de préproduction identique, pour éviter de perturber les clients. Le rapport doit mentionner la version testée, à jour au jour près.
Un scan automatisé suffit-il pour un grand compte ?
Rarement. Un scan à quelques centaines d'euros détecte des failles connues mais pas les erreurs de logique d'accès entre clients, qui représentent souvent les failles critiques d'une application B2B.
À quelle fréquence refaire le test ?
Une fois par an ou à chaque évolution majeure, comme un nouveau module de paiement ou une nouvelle API. Beaucoup de grands comptes demandent un rapport de moins de 12 mois.
Le retest est-il inclus dans le prix ?
Cela dépend du prestataire : certains l'incluent, d'autres le facturent 500 à 2 000 EUR HT. Faites-le préciser dans le devis pour comparer les offres à périmètre égal.
Parlons de votre projet. Envoyez-nous le rapport de pentest ou les exigences sécurité de votre client : nous chiffrons les correctifs, le planning de retest et la maintenance de sécurité. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
