Le verdict en trois phrases
Pour un portail client métier, un pentest en boîte grise de 5 à 10 jours coûte en ordre de grandeur 2026 5 000 à 15 000 € HT à Lille, avec un TJM d'auditeur PASSI compris entre 900 et 1 400 € HT. Le budget oublié est presque toujours la correction des failles, qui va de 3 000 à 20 000 € HT selon l'âge du code et la gravité des constats. Avant un appel d'offres grand compte, le bon calendrier est audit, correction, contre-audit, en prévoyant 6 à 10 semaines au total.
Pourquoi les grands comptes exigent un pentest récent
Un groupe de distribution lillois qui répond à l'appel d'offres d'une enseigne nationale voit apparaître dans le questionnaire sécurité la même ligne : « rapport de test d'intrusion de moins de 12 mois, réalisé par un tiers indépendant ». Sans ce document, le dossier perd des points, voire est écarté. Les directions achats s'appuient de plus en plus sur NIS 2, transposée en droit français, et sur leurs propres politiques de sécurité fournisseurs.
| Exigence fréquente dans les appels d'offres (2026) | Ce qu'il faut fournir | Effort estimé |
|---|---|---|
| Test d'intrusion de moins de 12 mois | rapport et synthèse exécutive | 5 à 10 jours d'audit |
| Correction des vulnérabilités critiques et hautes | preuve de contre-audit | 2 à 5 jours de contre-test |
| Prestataire qualifié | auditeur PASSI ou équivalent reconnu | sélection du prestataire |
| Conformité OWASP Top 10 | revue de code ou tests ciblés | 3 à 8 jours |
| Plan d'assurance sécurité | document de 10 à 30 pages | 3 à 6 jours |
| Hébergement et sauvegardes | attestation hébergeur, PRA | 1 à 3 jours |
| Gestion des accès | MFA, journalisation, revue des droits | variable selon l'existant |
Combien coûte un pentest d'application métier en 2026
Le prix dépend du périmètre (nombre de rôles utilisateurs, d'écrans, d'API), du type de test et du niveau de qualification de l'auditeur. Un portail client avec trois profils (client, commercial, administrateur) et une API REST se situe généralement entre 6 et 10 jours.
| Type de prestation | Durée typique | Budget (ordre de grandeur 2026) |
|---|---|---|
| Pentest boîte noire (sans compte) | 3 à 5 jours | 3 000 à 7 000 € HT |
| Pentest boîte grise (comptes fournis par rôle) | 5 à 10 jours | 5 000 à 15 000 € HT |
| Pentest boîte blanche avec accès au code | 8 à 15 jours | 9 000 à 21 000 € HT |
| Revue de code orientée OWASP | 3 à 8 jours | 3 000 à 11 000 € HT |
| Contre-audit après corrections | 1 à 3 jours | 1 000 à 4 000 € HT |
| Scan automatisé de vulnérabilités (abonnement) | continu | 100 à 500 € HT par mois |
| Programme de bug bounty privé | continu | 5 000 à 30 000 € par an de primes |
Le scan automatisé ne remplace pas un pentest : il détecte les failles connues et les mauvaises configurations, pas les erreurs de logique métier comme un client qui consulte les commandes d'un autre en modifiant un identifiant dans l'URL.
Le budget caché : corriger ce que l'audit trouve
| Constat fréquent sur un portail métier | Gravité habituelle | Coût de correction indicatif |
|---|---|---|
| Contrôle d'accès défaillant (IDOR) | critique | 2 000 à 8 000 € HT |
| Injection SQL ou NoSQL | critique | 1 500 à 6 000 € HT |
| Absence de MFA sur l'administration | haute | 1 000 à 3 000 € HT |
| Bibliothèques obsolètes avec CVE connues | haute à moyenne | 1 500 à 10 000 € HT |
| En-têtes de sécurité et CSP absents | moyenne | 500 à 1 500 € HT |
| Politique de mots de passe et sessions faible | moyenne | 800 à 2 500 € HT |
Sur un code de plus de 5 ans jamais audité, prévoyez dans le budget une enveloppe de correction au moins égale au prix du pentest. Sur une application récente développée selon les recommandations OWASP, la correction tient souvent en 3 000 à 5 000 € HT.
Mini cas pratique
Scénario illustratif : Julien, DSI d'un groupe de distribution de 600 salariés à Lille, doit fournir un rapport de pentest pour un appel d'offres estimé à 1 800 000 € de chiffre d'affaires sur 3 ans. Il retient un pentest boîte grise de 8 jours à 1 100 € HT par jour, soit 8 800 € HT, plus un contre-audit de 2 jours à 2 200 € HT.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
L'audit relève deux failles critiques et cinq moyennes, corrigées pour 9 500 € HT. Coût total : 20 500 € HT. Si le rapport fait passer sa probabilité de gain de 20 % à 30 %, l'espérance de chiffre d'affaires augmente de 180 000 €. Avec une marge nette de 8 %, cela représente 14 400 € de marge espérée sur ce seul dossier, avant les appels d'offres suivants qui réutiliseront le même rapport pendant 12 mois.
FAQ
À quelle fréquence faut-il refaire un pentest ?
Une fois par an au minimum, et après chaque évolution majeure du portail comme une nouvelle API ou un nouveau rôle utilisateur. La plupart des grands comptes exigent un rapport de moins de 12 mois.
Faut-il obligatoirement un prestataire qualifié PASSI ?
Ce n'est pas obligatoire pour une entreprise privée, mais c'est un signal fort dans les appels d'offres et requis pour certains opérateurs régulés. Le surcoût par rapport à un auditeur non qualifié se situe autour de 10 à 25 % du TJM.
Peut-on tester en production ?
C'est possible avec des précautions, mais un environnement de préproduction identique est préférable. Sa mise en place coûte en général 1 000 à 3 000 € HT et évite tout risque sur les données clients.
Combien de temps entre la commande et le rapport ?
Comptez 2 à 4 semaines pour obtenir un créneau chez un cabinet reconnu, puis 1 à 2 semaines d'audit et une semaine de rédaction. Avec les corrections et le contre-audit, le cycle complet dure 6 à 10 semaines.
Un scan automatique suffit-il pour rassurer un client ?
Non, un scan à 100 à 500 € HT par mois complète le pentest mais ne détecte pas les failles de logique métier. Les questionnaires sécurité des grands comptes demandent explicitement un test manuel.
Parlons de votre projet. Donnez-nous l'architecture de votre portail, les rôles utilisateurs et l'échéance de l'appel d'offres : nous chiffrons la préparation, les corrections et la coordination avec l'auditeur, avec un calendrier réaliste. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
