Le verdict en trois phrases
Quand un grand compte exige un rapport de test d'intrusion avant de signer, l'éditeur doit raisonner en calendrier autant qu'en budget : il faut compter 4 à 8 semaines entre la commande et un rapport de contre-audit propre. Un pentest boîte grise de 5 à 10 jours, facturé 900 à 1 400 € HT par jour à Paris, coûte donc 4 500 à 14 000 € HT, auxquels s'ajoutent 3 000 à 15 000 € de corrections et 1 à 3 jours de contre-audit. Pour un contrat à six chiffres, cet investissement représente rarement plus de 10 à 15 % de la première année de revenus, et il conditionne souvent la signature.
Boîte noire, grise ou blanche : ce que le grand compte attend
Les directions sécurité des banques, assureurs et groupes du CAC 40 demandent presque toujours un test boîte grise : l'auditeur dispose de comptes utilisateurs à plusieurs niveaux de droits, comme un client authentifié ou un collaborateur malveillant. C'est le meilleur compromis entre réalisme et couverture.
| Approche | Ce que reçoit l'auditeur | Durée typique | Usage |
|---|---|---|---|
| Boîte noire | Uniquement l'URL | 3 à 5 jours | Simuler un attaquant externe, peu de couverture des fonctions métiers |
| Boîte grise | Comptes de test par rôle, documentation API | 5 à 10 jours | Standard des grands comptes avant signature |
| Boîte blanche | Code source, architecture, accès infra | 8 à 15 jours | Applications sensibles, santé, finance, secteur public |
| Revue de code ciblée | Extraits de code critiques | 2 à 5 jours | Complément sur l'authentification et les paiements |
| Contre-audit | Rapport initial et corrections | 1 à 3 jours | Prouver que les vulnérabilités ont été corrigées |
Le référentiel de base est l'OWASP Top 10, complété par l'OWASP API Security Top 10 si votre produit expose une API. Les points qui reviennent le plus dans les rapports sont le contrôle d'accès défaillant (un utilisateur qui accède aux données d'un autre client), les injections, la mauvaise configuration des en-têtes de sécurité et la gestion des sessions.
Combien coûte un pentest à Paris en 2026
Les tarifs varient selon la qualification du prestataire, la taille de l'application et l'urgence. Pour les clients sensibles, opérateurs d'importance vitale, administrations ou entités soumises à NIS2, le grand compte peut imposer un prestataire qualifié PASSI par l'ANSSI, ce qui place le tarif dans le haut de la fourchette.
| Profil d'application | Jours de test | TJM HT (ordre de grandeur 2026) | Budget du test HT |
|---|---|---|---|
| SaaS simple, 3 rôles, pas d'API publique | 5 jours | 900 à 1 100 € | 4 500 à 5 500 € |
| SaaS B2B avec API et 5 rôles | 7 jours | 1 000 à 1 250 € | 7 000 à 8 750 € |
| Plateforme avec paiement et multi-tenant | 8 à 10 jours | 1 100 à 1 400 € | 8 800 à 14 000 € |
| Prestataire qualifié PASSI | 7 à 10 jours | 1 200 à 1 400 € | 8 400 à 14 000 € |
| Contre-audit | 1 à 3 jours | Même TJM | 900 à 4 200 € |
| Corrections par l'équipe produit ou un prestataire | Selon rapport | Variable | 3 000 à 15 000 € |
La ligne la plus imprévisible est celle des corrections. Une application bien construite sort avec quelques vulnérabilités moyennes, corrigées en 3 à 5 jours. Une application qui mélange les données des clients dans une même base sans cloisonnement strict peut nécessiter une refonte du contrôle d'accès, soit 10 à 15 jours de développement.
La méthode pour passer du premier rapport au contre-audit
Le calendrier type tient en cinq étapes. La préparation prend une semaine : périmètre écrit, comptes de test, environnement de préproduction identique à la production, autorisation signée. Le test dure 5 à 10 jours ouvrés. Le rapport arrive sous 5 à 10 jours avec une notation CVSS de chaque vulnérabilité. Les corrections prennent 1 à 4 semaines selon la gravité. Le contre-audit clôture le processus avec un rapport synthétique que vous pouvez transmettre au grand compte.
Trois précautions évitent les mauvaises surprises. Faites un auto-diagnostic avant le test, avec un scanner automatisé et une revue des en-têtes, pour ne pas payer un auditeur à 1 200 € par jour pour trouver des erreurs triviales. Gelez les déploiements pendant la fenêtre de test. Demandez dès la commande un rapport en deux parties, une synthèse exécutive pour l'acheteur et un détail technique pour vos développeurs. Si votre application a été développée sur mesure, prévoyez aussi les corrections dans le contrat de maintenance ou en lot dédié ; Kolonell intègre ce volet dans ses missions cybersécurité, sur devis.
Mini cas pratique
Julien, CTO d'un éditeur SaaS RH de 25 personnes à Paris, doit fournir un rapport de pentest à une banque prête à signer un contrat de 180 000 € HT par an. Le prestataire retenu propose 7 jours à 1 150 € HT.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
- Test boîte grise : 7 × 1 150 = 8 050 € HT.
- Corrections : 6 jours de développeur interne à 750 € chargés, plus 4 500 € de prestataire sur le cloisonnement multi-tenant, soit 9 000 €.
- Contre-audit : 2 × 1 150 = 2 300 € HT.
- Total : 19 350 €, soit 10,75 % de la première année du contrat.
Le rapport réutilisable pendant 12 mois sert aussi pour deux autres prospects du secteur assurance, ce qui ramène le coût effectif par contrat à environ 6 450 € si les trois signent.
FAQ
Combien de temps un rapport de pentest reste-t-il valable ?
La plupart des grands comptes acceptent un rapport de moins de 12 mois, à condition qu'aucune refonte majeure n'ait eu lieu entre-temps. Au-delà, ou après une évolution importante, comptez un nouveau test de 3 à 5 jours.
La qualification PASSI est-elle obligatoire ?
Elle ne l'est pas pour un éditeur privé, sauf si le client l'exige contractuellement, ce qui est fréquent dans la banque, la santé et le secteur public. Elle ajoute en général 10 à 20 % au tarif journalier.
Peut-on tester directement en production ?
C'est possible avec une autorisation et des précautions, mais une préproduction identique est préférable. Un test d'injection mal maîtrisé sur une base réelle peut corrompre des données clients.
Un scanner automatisé ne suffit-il pas ?
Un scanner détecte 30 à 40 % des problèmes, surtout les configurations. Les failles de contrôle d'accès entre clients, les plus graves pour un SaaS, ne se trouvent qu'avec un test manuel.
Que faire si le rapport révèle une faille critique ?
Corrigez-la avant toute autre tâche, en général sous 5 jours ouvrés, et demandez un contre-audit ciblé de 1 jour. Informez le grand compte du calendrier : la transparence rassure plus qu'un rapport vierge.
Parlons de votre projet. Nous cadrons avec vous le périmètre du test, le planning de corrections et le contre-audit pour tenir la date de signature. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
