Le verdict en trois phrases
Un pentest boîte grise sur un portail client coûte 5 000 à 15 000 EUR HT à Nice en 2026 pour 3 à 8 jours de test, et identifie en moyenne 8 à 15 vulnérabilités dont 1 à 3 critiques. Le périmètre couvre l'authentification, les accès IDOR, les injections, l'upload de fichiers et la logique métier, avec un re-test des correctifs inclus. Le tester avant la mise en production transforme un incident potentiel à 30 000 EUR en une correction planifiée à quelques milliers d'euros.
Périmètre et prix d'un pentest de portail
Le pentest simule un attaquant disposant d'un compte utilisateur (boîte grise), ce qui reflète le vrai risque d'un portail client : un utilisateur légitime qui tente d'accéder aux données des autres. Voici les formules 2026.
| Formule | Approche | Durée | Prix 2026 (EUR HT) |
|---|---|---|---|
| Pentest cible | Boîte noire, surface publique | 2-3 jours | 5 000 - 7 000 |
| Pentest portail | Boîte grise, 2-3 rôles | 4-6 jours | 8 000 - 12 000 |
| Pentest approfondi | Boîte grise + API + logique métier | 7-8 jours | 13 000 - 15 000 |
| Re-test correctifs | Vérification post-fix | 1 jour | Inclus |
| Pentest récurrent | 1 campagne / an | Annuel | 8 000 - 12 000 |
Un portail client concentre plusieurs risques à fort impact : accès horizontal aux comptes voisins (IDOR), élévation de privilege, fuite de données via des API mal filtrées. C'est exactement ce qu'un pentest boîte grise met en evidence avant vos vrais clients.
Ce qu'un pentest trouve typiquement
Voici la répartition observée sur des portails B2B avant lancement, avec la criticité associée.
| Type de vulnérabilité | Fréquence | Criticité typique | Effort correctif |
|---|---|---|---|
| IDOR (accès données d'autrui) | Très fréquent | Critique / Élevé | 1-3 jours |
| Contrôle d'accès par rôle casse | Fréquent | Élevé | 2-4 jours |
| Injection (SQL, NoSQL, commande) | Moyen | Critique | 1-2 jours |
| Upload de fichiers non filtré | Fréquent | Élevé | 1-2 jours |
| Gestion de session faible | Moyen | Moyen | 1 jour |
| Exposition d'API interne | Fréquent | Élevé | 2-3 jours |
Le rapport final hiérarchise chaque faille par score CVSS et fournit une remediation concrete. Le re-test valide que les correctifs sont effectifs, ce qui est indispensable avant d'ouvrir le portail au public.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Mini cas pratique
Sophie, directrice des opérations d'une société de services B2B à Nice, s'apprête à lancer un portail ou 400 clients consulteront leurs contrats. Elle commande un pentest portail à 10 000 EUR HT (5 jours) deux semaines avant la date de lancement. Le test remonte 2 failles critiques (un IDOR permettant de lire les contrats d'un autre client, une injection sur le module de recherche) et 11 failles secondaires. La correction mobilise 5 jours-homme (environ 3 000 EUR), suivie du re-test inclus. Coût total : 13 000 EUR. En face, un seul contrat B2B perdu après une fuite de données se serait chiffre bien au-delà, sans parler de la notification réglementaire.
FAQ
Pourquoi tester avant la production plutôt qu'après ? Avant la mise en ligne, une faille se corrige à froid, sans clients exposés ni obligation de notification. Après, la même faille devient un incident : forensic, communication de crise, perte de confiance, souvent 20 000 à 50 000 EUR au total.
Boîte noire ou boîte grise pour un portail client ? La boîte grise est recommandée : elle simule un utilisateur authentifié et révèle les accès horizontaux (IDOR) et les problèmes de rôles, qui sont les risques numéro un d'un portail. La boîte noire seule passe à côté de l'essentiel.
Le re-test est-il vraiment inclus ? Chez les prestataires sérieux, oui : après vos corrections, l'auditeur vérifie que chaque faille est bien fermée et met à jour le rapport. Exigez-le dans le devis, c'est ce qui distingue un pentest d'un simple scan.
Combien de temps entre le test et le lancement ? Prévoyez 2 à 4 semaines : quelques jours de test, puis le temps de corriger et de re-tester. Lancer sans cette marge, c'est mettre en ligne des failles critiques connues.
Un scanner automatique ne suffit-il pas ? Non : un scanner détecte les failles techniques connues mais rate la logique métier, les IDOR contextuels et les enchaînements d'exploitation. Un pentest combine outils et expertise humaine, ce qui explique l'écart de prix et de valeur.
Parlons de votre projet. Indiquez-nous le nombre de rôles, la présence d'API et votre date de lancement : nous cadrons un pentest entre 5 000 et 15 000 EUR HT, re-test inclus. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
