Le verdict en trois phrases
Pour un portail client qui ouvre, commencez par un pentest boîte grise (4 000 à 15 000 € HT pour 3 à 10 jours) : il donne un rapport opposable, une couverture méthodique de l'OWASP Top 10 et une date de fin. Prenez un prestataire qualifié PASSI (20 à 40 % plus cher) uniquement si un client, un régulateur ou un appel d'offres l'exige. Le bug bounty privé vient ensuite, une fois les failles évidentes corrigées, sinon vous payez des primes pour ce qu'un pentest aurait trouvé à moindre coût.
Les trois options comparées
Un pentest est une prestation au forfait, menée par une équipe d'auditeurs sur une période fixe. Un bug bounty est un programme continu où des chercheurs indépendants sont rémunérés à la faille trouvée. La qualification PASSI, délivrée sous l'égide de l'ANSSI, atteste que le prestataire suit un référentiel d'exigences sur la méthode, la confidentialité et les compétences.
| Critère | Pentest standard | Pentest PASSI | Bug bounty privé |
|---|---|---|---|
| Coût typique (ordre de grandeur 2026) | 4 000 à 15 000 € HT | 5 000 à 21 000 € HT | 1 500 à 5 000 € de plateforme + primes |
| Durée | 3 à 10 jours | 4 à 12 jours | Continu, 3 à 12 mois |
| Rapport formel opposable | Oui | Oui, format exigé par le référentiel | Rapports par faille |
| Couverture méthodique OWASP | Complète sur le périmètre | Complète et documentée | Opportuniste, selon les chercheurs |
| Budget prévisible | Oui, forfait | Oui, forfait | Partiellement (enveloppe de primes) |
| Exigé par certains marchés publics ou OIV | Rarement suffisant | Oui | Non |
| Test de régression après correctifs | 0,5 à 2 jours en option | 0,5 à 2 jours en option | Implicite, les chercheurs retestent |
| Profondeur de la logique métier | Bonne en boîte grise | Bonne en boîte grise | Variable |
Comment se construit le budget d'un pentest
Le prix dépend du nombre de jours-auditeur, lui-même fonction de la surface : nombre de rôles utilisateurs, d'écrans, d'API et de fonctions sensibles (paiement, export de données, gestion des droits). Le tarif journalier d'un auditeur senior se situe entre 900 et 1 500 € HT en France en 2026.
| Périmètre | Jours-auditeur | Budget pentest standard (HT) | Budget PASSI (HT) |
|---|---|---|---|
| Site vitrine avec formulaire | 2 à 3 | 2 000 à 4 000 € | 2 500 à 5 500 € |
| Portail client simple, 2 rôles | 4 à 6 | 4 000 à 8 000 € | 5 000 à 11 000 € |
| Portail client avec paiement et API | 6 à 10 | 7 000 à 15 000 € | 9 000 à 21 000 € |
| Application SaaS multi-tenant | 10 à 15 | 12 000 à 22 000 € | 15 000 à 30 000 € |
| Application mobile + API back-end | 8 à 12 | 9 000 à 18 000 € | 11 000 à 25 000 € |
| Retest après correctifs | 0,5 à 2 | 500 à 3 000 € | 700 à 4 000 € |
Côté bug bounty, les grilles de primes 2026 vont généralement de 100 à 300 € pour une faille faible, 500 à 1 500 € pour une faille moyenne et 1 500 à 3 000 € ou plus pour une faille critique. Sur une application jamais auditée, les 20 premières remontées peuvent coûter plus cher que le pentest complet.
La séquence recommandée pour une PME
Avant tout audit, un durcissement de base évite de payer des auditeurs pour trouver l'évident : en-têtes de sécurité (CSP, HSTS), cookies sécurisés, limitation du nombre de tentatives de connexion, mises à jour des dépendances, contrôle d'accès vérifié côté serveur. Ensuite le pentest boîte grise, avec un compte par rôle. Puis les correctifs et le retest. Enfin, si l'application porte des données sensibles ou un volume important d'utilisateurs, un bug bounty privé avec 20 à 50 chercheurs invités et une enveloppe de primes plafonnée.
| Étape | Budget indicatif | Délai |
|---|---|---|
| Durcissement préalable et revue des dépendances | 1 500 à 4 000 € | 1 à 2 semaines |
| Pentest boîte grise | 4 000 à 15 000 € HT | 3 à 10 jours + 1 semaine de rapport |
| Correctifs | 10 à 30 % du coût du pentest | 1 à 4 semaines |
| Retest | 500 à 3 000 € | 1 à 2 jours |
| Bug bounty privé (optionnel) | 1 500 à 5 000 € + 3 000 à 15 000 € de primes par an | Continu |
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Scénario type : Sophie, RSSI d'une PME de services financiers de 120 salariés à Bordeaux, ouvre un portail client avec téléversement de documents et signature électronique. Son principal client grand compte exige un rapport d'audit, sans imposer PASSI. Elle prévoit 2 500 € de durcissement préalable, un pentest boîte grise de 7 jours à 1 200 € HT par jour, soit 8 400 €, puis 1 800 € de correctifs et 1 200 € de retest. Total : 13 900 € HT. Le même client aurait accepté un rapport PASSI à environ 11 000 € pour la seule phase d'audit, soit 2 600 € de plus sans bénéfice contractuel. Elle reporte le bug bounty à l'année suivante, avec une enveloppe plafonnée à 8 000 €.
FAQ
Combien coûte un pentest d'application web en 2026 ?
Entre 4 000 et 15 000 € HT pour un portail client en boîte grise, sur 3 à 10 jours. Le tarif journalier d'un auditeur senior se situe entre 900 et 1 500 € HT.
La qualification PASSI est-elle obligatoire ?
Non pour la plupart des PME. Elle est exigée par certains acteurs publics, opérateurs d'importance vitale ou appels d'offres, et coûte en général 20 à 40 % de plus qu'un pentest standard.
Le bug bounty remplace-t-il le pentest ?
Rarement au départ. Sur une application jamais auditée, les primes s'accumulent vite, souvent 3 000 à 15 000 € la première année, alors qu'un pentest aurait couvert le même périmètre au forfait.
Qu'est-ce que l'OWASP Top 10 ?
C'est la liste de référence des dix catégories de risques les plus fréquents dans les applications web, comme le contrôle d'accès défaillant ou l'injection. Un pentest sérieux couvre ces catégories et le précise dans son rapport.
À quelle fréquence refaire un pentest ?
Une fois par an et après chaque évolution majeure, par exemple l'ajout d'un module de paiement. Un retest ciblé de 1 à 2 jours suffit pour une évolution mineure.
Parlons de votre projet. Nous préparons votre application avant l'audit et appliquons les correctifs après : envoyez-nous votre stack et le rapport ou le périmètre visé pour un budget indicatif et un délai de 1 à 4 semaines. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
