Le verdict en trois phrases
Un pentest en boîte grise d'une application SaaS coûte 6 000 à 15 000 € HT en 2026 pour 5 à 10 jours d'audit, et il faut prévoir 20 à 40 % de ce montant pour corriger les failles trouvées. Le grand compte ne veut pas un rapport vierge : il veut la preuve que vous testez, corrigez et retestez selon une méthode reconnue. Bien cadré, le pentest devient un argument commercial réutilisable auprès de tous vos clients exigeants.
Ce que le grand compte attend vraiment
La direction sécurité d'un groupe du CAC 40 ou d'une ETI envoie en général un questionnaire de 80 à 200 questions, puis demande un rapport de pentest de moins de 12 mois. Elle regarde quatre choses : le périmètre testé (application, API, authentification, multi-tenant), la méthodologie (OWASP Top 10, OWASP ASVS, PTES), la criticité des failles avec un score CVSS, et la preuve de correction via un retest.
Un rapport utile contient une synthèse pour la direction, le détail technique de chaque vulnérabilité, les étapes de reproduction et une lettre d'attestation que vous pourrez transmettre sans divulguer les détails sensibles.
Grille de prix 2026 en France
| Prestation | Prix 2026 (€ HT) | Durée / fréquence |
|---|---|---|
| Pentest boîte noire (application web seule) | 4 000 à 8 000 | 3 à 5 jours |
| Pentest boîte grise (comptes utilisateurs fournis) | 6 000 à 15 000 | 5 à 10 jours |
| Pentest API + isolation multi-tenant | 3 000 à 7 000 en plus | 2 à 4 jours |
| Retest après correction | 800 à 2 000 | 1 à 2 jours |
| Scan automatisé continu (DAST) | 100 à 400 / mois | Hebdomadaire |
| Audit de configuration cloud (AWS, Azure, OVHcloud) | 3 000 à 6 000 | 3 à 5 jours |
| Préparation ISO 27001 complète | 25 000 à 60 000 | 6 à 12 mois |
Pour un éditeur lillois de 20 à 50 personnes, la combinaison la plus fréquente est un pentest boîte grise de 7 jours avec un volet API, soit 9 000 à 13 000 € HT, plus un retest. L'ISO 27001 n'est exigée que par certains secteurs (banque, santé, défense) ; demandez si un rapport de pentest et un plan d'action suffisent pour la première année.
Les corrections typiques et leur coût
| Faille fréquente (OWASP Top 10) | Fréquence observée | Effort de correction |
|---|---|---|
| Contrôle d'accès défaillant (IDOR, accès inter-tenant) | Très fréquente | 3 à 8 jours de développement |
| Configuration de sécurité (en-têtes CSP, CORS, cookies) | Très fréquente | 1 à 2 jours |
| Authentification (pas de MFA, sessions trop longues) | Fréquente | 2 à 5 jours |
| Injection (SQL, NoSQL, modèles) | Moins fréquente avec un ORM | 1 à 4 jours |
| Composants vulnérables (dépendances obsolètes) | Fréquente | 1 à 3 jours + veille |
| Journalisation insuffisante | Fréquente | 2 à 4 jours |
Avec un taux journalier de 550 à 750 € HT pour un développeur senior, une remédiation de 4 à 8 jours représente 2 200 à 6 000 €, ce qui correspond bien à 20 à 40 % d'un audit de 10 000 €. La faille la plus coûteuse est presque toujours l'isolation entre clients dans une architecture multi-tenant : c'est aussi celle qui inquiète le plus l'acheteur.
Mini cas pratique
Thomas, CTO d'un éditeur SaaS RH de 30 personnes à Lille, doit fournir un pentest pour signer un contrat de 180 000 € par an avec un groupe de distribution. Il commande un pentest boîte grise avec API à 11 500 € HT. Le rapport révèle 2 failles critiques (accès inter-tenant), 3 moyennes et 6 faibles.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
La remédiation prend 7 jours à 650 €, soit 4 550 €, puis un retest à 1 500 €. Il ajoute un scan automatisé à 250 € par mois (3 000 € par an). Budget total la première année : 20 550 € HT, soit 11,4 % du contrat annuel. Le même rapport et l'attestation de retest servent ensuite à deux autres appels d'offres. Ordre de grandeur 2026.
FAQ
Combien de temps faut-il entre la commande et le rapport ?
Comptez 3 à 6 semaines : 1 à 3 semaines d'attente chez un prestataire qualifié, 5 à 10 jours de test et environ une semaine de rédaction. Anticipez dès la phase de négociation.
Faut-il un prestataire qualifié PASSI ?
La qualification PASSI de l'ANSSI est exigée pour certains clients publics et opérateurs sensibles. Elle augmente souvent le prix de 15 à 30 %, mais rassure les grands comptes.
Peut-on tester en production ?
C'est possible avec un créneau convenu, mais un environnement de préproduction identique est préférable. Il coûte généralement 150 à 600 € par mois d'infrastructure.
À quelle fréquence refaire un pentest ?
Au minimum une fois par an et après chaque évolution majeure (nouvelle API, refonte de l'authentification). La plupart des grands comptes exigent un rapport de moins de 12 mois.
Kolonell réalise-t-il le pentest lui-même ?
Nous préparons l'application, corrigeons les failles et organisons le retest avec un auditeur indépendant, car un client exige que l'auditeur ne soit pas le développeur. Notre remédiation se facture au forfait dès 3 000 € HT.
Parlons de votre projet. Nous cadrons le périmètre de votre pentest, chiffrons la remédiation sur la base de votre stack et planifions le retest pour respecter la date de signature de votre grand compte. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
