Test d'intrusion d'une application web avant lancement pour une fintech à Abidjan : périmètre et prix 2026

Le verdict en trois phrases

Pour une fintech de crédit qui manipule des données bancaires et des décaissements Mobile Money, un test d'intrusion en boîte grise de 8 à 12 jours, cadré sur OWASP ASVS niveau 2, coûte 3 000 000 à 7 500 000 FCFA à Abidjan en ordre de grandeur 2026. Le rapport n'a de valeur pour la BCEAO et vos banques partenaires que s'il est suivi d'une correction des failles critiques sous 2 semaines et d'un retest qui prouve leur fermeture. Budgétez dès maintenant un audit annuel et un test après chaque évolution majeure.

Boîte noire, grise ou blanche : quel périmètre choisir

Un pentest en boîte noire simule un attaquant sans aucun accès : utile pour la façade publique, insuffisant pour une application de crédit où le risque principal vient des utilisateurs connectés. En boîte grise, l'auditeur reçoit des comptes de test pour chaque rôle (commerçant, agent de terrain, analyste crédit, administrateur) et la documentation de l'API. Il peut alors tester ce qui compte vraiment : un commerçant peut-il voir le dossier d'un autre, modifier un montant de prêt, déclencher un décaissement vers un numéro Wave ou Orange Money qui n'est pas le sien ?

Pour un lancement, la combinaison la plus rentable est une boîte grise sur l'application web et l'API, complétée par 3 à 4 jours sur l'application mobile des agents de terrain si elle existe.

Prix et livrables à Abidjan en 2026

Les tarifs varient selon l'expérience de l'équipe, ses certifications (OSCP, CREST, PASSI pour les cabinets français opérant dans la région) et la profondeur du rapport. Un rapport exploitable par un régulateur contient un résumé pour la direction, une cotation CVSS de chaque faille, des preuves reproductibles et des recommandations de correction précises.

Demandez systématiquement une lettre d'autorisation signée, une fenêtre de test définie, un environnement de préproduction aligné sur la production et une clause de confidentialité. Sans préproduction fidèle, l'auditeur teste une autre application que celle que vous lancerez.

Les failles qui reviennent sur les fintechs de crédit

Sur les applications de prêt aux commerçants, les mêmes catégories reviennent. La première est le contrôle d'accès cassé (IDOR) : modifier un identifiant dans l'URL donne accès au dossier d'un autre client, avec pièce d'identité et relevés. Viennent ensuite les failles de logique métier : double soumission d'une demande de décaissement, modification du montant entre validation et paiement, contournement du plafond par fractionnement. Les webhooks de paiement non signés permettent de simuler un remboursement. Enfin, les jetons de session trop longs sur l'application des agents exposent tout le portefeuille si un téléphone est perdu.

Le référentiel OWASP ASVS donne une liste vérifiable de plus de 280 exigences, ce qui permet à la BCEAO ou à la banque de comprendre ce qui a été testé. La loi ivoirienne 2013-450 sur les données personnelles et l'ARTCI ajoutent une exigence de protection des pièces d'identité collectées lors du KYC. Si vos équipes utilisent un annuaire d'entreprise, centraliser l'authentification aide aussi, comme détaillé dans notre article sur le SSO et la MFA pour les applications internes.

Mini cas pratique

Yao, CTO d'une fintech abidjanaise qui prête aux commerçants du Plateau et d'Adjamé, prépare son lancement avec une banque partenaire qui exige un rapport de pentest.

• Pentest boîte grise web, API et application agents : 6 200 000 FCFA, 11 jours.
• Rapport : 3 failles critiques (IDOR sur les dossiers, webhook Wave non vérifié, plafond contournable), 7 moyennes.
• Corrections : 2 développeurs pendant 10 jours à 150 000 FCFA par jour, soit 3 000 000 FCFA.
• Total sécurité avant lancement : 9 200 000 FCFA, retest inclus.

En face, le webhook non signé aurait permis de marquer comme remboursés des prêts impayés. Avec 40 dossiers frauduleux à 1 500 000 FCFA en moyenne, la perte atteint 60 000 000 FCFA, soit 6,5 fois le coût du dispositif, sans compter le gel probable de la ligne de refinancement bancaire.

FAQ

La BCEAO impose-t-elle un pentest ?

Les établissements de paiement et partenaires de banques doivent démontrer la sécurité de leur système d'information, et un rapport de test d'intrusion récent est la preuve la plus demandée. Les banques partenaires exigent en pratique un rapport de moins de 12 mois.

Combien de temps avant le lancement faut-il planifier le test ?

Comptez 6 à 8 semaines : 2 à 4 semaines pour démarrer, 8 à 12 jours d'audit, 2 semaines de corrections et le retest. Un test lancé 10 jours avant l'ouverture laisse des failles critiques en production.

Faut-il tester l'application mobile des agents ?

Oui si elle accède aux dossiers clients ou déclenche des décaissements. L'extension coûte 1 000 000 à 2 000 000 FCFA, un faible montant au regard d'un portefeuille exposé par un téléphone perdu.

Un scanner automatique ne suffit-il pas ?

Un scanner trouve les failles techniques connues en quelques heures, mais rate presque toutes les failles de logique métier, qui représentent souvent plus de la moitié des critiques sur une fintech. Il complète le pentest sans le remplacer.

À quelle fréquence refaire l'audit ?

Une fois par an au minimum, et après chaque évolution majeure comme un nouveau moyen de paiement. Le deuxième audit coûte souvent 60 à 80 % du premier.

Parlons de votre projet. Nous préparons la préproduction, les comptes de test et le plan de correction pour que votre rapport de pentest soit exploitable avant le lancement. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.