Le verdict en trois phrases
Un pentest boîte noire d'application web se situe entre 4 000 et 9 000 EUR HT en 2026, la boîte grise (avec comptes de test) entre 8 000 et 18 000 EUR HT, pour un délai de 2 à 4 semaines. Le livrable clef n'est pas le prix mais le rapport OWASP hiérarchise par criticité, accompagné d'un retest gratuit après corrections. Face à un coût moyen de fuite supérieur à 100 000 EUR pour une PME, l'audit est l'un des investissements sécurité au meilleur ratio.
Combien coûte réellement un pentest en 2026
Le prix dépend surtout du niveau d'information fourni au pentesteur et de la surface de l'application (nombre d'endpoints, rôles, intégrations). Un audit court sur une app vitrine avec formulaire n'a rien à voir avec un SaaS multi-tenant à plusieurs dizaines d'API.
| Type de pentest | Périmètre | Prix HT 2026 | Délai |
|---|---|---|---|
| Boîte noire (black box) | Sans accès, vision attaquant externe | 4 000 - 9 000 EUR | 2 - 3 semaines |
| Boîte grise (grey box) | Comptes utilisateurs + doc partielle | 8 000 - 18 000 EUR | 3 - 4 semaines |
| Boîte blanche (white box) | Code source + architecture | 15 000 - 30 000 EUR | 4 - 6 semaines |
| Pentest API dédiée | REST/GraphQL, tokens, quotas | 5 000 - 12 000 EUR | 2 - 3 semaines |
| Retest de vérification | Revalidation post-correctifs | Inclus (0 EUR) | 3 - 5 jours |
| Bug bounty continu | Programme sur 12 mois | 12 000 - 40 000 EUR/an | Continu |
La boîte grise offre le meilleur rapport couverture/prix pour un SaaS : le pentesteur teste les élévations de privilèges et les fuites inter-comptes qu'un scan externe ne verra jamais.
Ce que couvre un rapport sérieux
Un bon rapport ne se limite pas à une liste de failles. Il classe chaque vulnérabilité selon le CVSS et l'aligné sur le OWASP Top 10 (injections, contrôle d'accès casse, mauvaise configuration, etc.).
| Livrable | Contenu attendu | Impact pour vous |
|---|---|---|
| Synthèse executive | 1-2 pages non techniques | À montrer aux investisseurs / clients |
| Détail par vulnérabilité | Preuve, CVSS, reproduction | Priorisation des correctifs |
| Plan de remédiation | Actions + effort estimé | Chiffrage du budget dev |
| Retest | Revalidation après corrections | Preuve que c'est fermé |
| Attestation | Document signé date | Exigée par les grands comptes |
Sans attestation signée, votre rapport ne rassurera pas un acheteur grand compte ni un fonds en due diligence.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Mini cas pratique
Thomas, CTO d'une startup B2B SaaS à Nantes, prépare une levée de série A. Le fonds exige un audit sécurité en due diligence. Il choisit un pentest boîte grise à 12 000 EUR HT, délai 3 semaines. Le rapport révèle 2 failles critiques (contrôle d'accès) et 5 moyennes ; la remédiation côté 9 jours de dev, soit environ 4 500 EUR. Coût total : 16 500 EUR. En face, une fuite exploitant ces failles aurait entraîne notification CNIL, perte de 3 clients pilotés et un coût estimé à plus de 100 000 EUR, sans parler du deal de levée compromis. L'audit a payé son ratio dès la première faille corrigée.
FAQ
Pentest ou simple scan automatisé, quelle différence ? Un scan (150-600 EUR/mois d'outillage) détecte les vulnérabilités connues mais rate la logique métier et les élévations de privilèges. Un pentest humain testé des enchaînements qu'aucun scanner ne trouve : c'est ce qu'exigent les fonds et grands comptes.
À quelle fréquence refaire un pentest ? Au minimum une fois par an et après tout changement majeur (nouvelle API, refonte de l'auth). Un programme annuel à 12 000-40 000 EUR/an couvre les évolutions continues.
Le retest est-il vraiment gratuit ? Chez les prestataires sérieux, un retest de vérification est inclus dans les 30 à 60 jours suivant le rapport initial, tant qu'il porte sur les failles déjà identifiées. Un nouvel audit complet, lui, est facturé.
Combien de temps avant d'avoir les résultats ? Comptez 2 à 4 semaines entre le kickoff et le rapport final, retest compris. Prévoyez ce délai avant une deadline de levée ou un lancement client.
Un pentest suffit-il pour être conforme RGPD ? Non : il couvre la sécurité technique, pas la gouvernance des données (registre, bases légales, DPA). Combinez-le avec un audit RGPD applicatif pour une conformité complète.
Parlons de votre projet. Décrivez-nous votre application (stack, nombre d'API, rôles, échéance de levée ou de deal) et nous cadrons le type de pentest adapté à votre budget. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
