Le verdict en trois phrases
À Paris en 2026, un test d'intrusion en boîte grise d'une application web coûte 4 000 à 15 000 EUR HT pour 5 à 15 jours d'audit, avec l'OWASP Top 10 comme référentiel minimal. Un prestataire qualifié PASSI par l'ANSSI coûte 20 à 30 % plus cher, mais c'est souvent ce que la direction sécurité d'un grand compte exige dans son questionnaire fournisseur. Le budget réel inclut aussi la correction des failles et un contre-audit, qui ajoutent 30 à 60 % au prix du test initial.
Boîte noire, grise ou blanche : quel test acheter ?
Le CTO d'une scale-up qui doit rassurer un grand compte n'a pas besoin du test le plus long, mais de celui qui produit un rapport crédible pour l'équipe sécurité du client. La boîte grise, où l'auditeur dispose de comptes utilisateurs de chaque rôle, est le format standard avant un lancement.
| Type de test | Informations données à l'auditeur | Durée typique | Prix indicatif 2026 (EUR HT) | Usage |
|---|---|---|---|---|
| Boîte noire | Uniquement l'URL | 4 à 8 jours | 3 500 à 9 000 | Simuler un attaquant externe |
| Boîte grise | Comptes de test par rôle, documentation API | 5 à 15 jours | 4 000 à 15 000 | Standard avant lancement ou signature |
| Boîte blanche | Accès au code source et à l'architecture | 10 à 20 jours | 10 000 à 25 000 | Applications sensibles, données de santé ou financières |
| Audit de code seul | Code source | 5 à 10 jours | 5 000 à 12 000 | Compléter un pentest |
| Test d'API seul | Spécification OpenAPI, jetons | 3 à 8 jours | 3 000 à 9 000 | Back-end consommé par des partenaires |
| Scan automatisé | URL | Moins d'une journée | 0 à 1 500 | Hygiène continue, jamais suffisant seul |
Ces fourchettes sont des ordres de grandeur 2026 constatés à Paris, avec des taux journaliers de 900 à 1 300 EUR HT pour un auditeur confirmé.
Combien de jours pour votre application ?
| Profil d'application | Jours d'audit en boîte grise | Prestataire non qualifié (EUR HT) | Prestataire PASSI, +20 à 30 % (EUR HT) |
|---|---|---|---|
| Site vitrine avec formulaire et espace client simple | 3 à 5 | 3 000 à 5 500 | 3 600 à 7 200 |
| SaaS B2B avec 2 à 3 rôles | 5 à 8 | 4 500 à 9 500 | 5 400 à 12 400 |
| SaaS multi-tenant avec API publique | 8 à 12 | 7 500 à 13 000 | 9 000 à 16 900 |
| Plateforme avec paiement et données sensibles | 10 à 15 | 9 500 à 15 000 | 11 400 à 19 500 |
| Application mobile et back-end associé | 10 à 15 | 9 500 à 15 000 | 11 400 à 19 500 |
Le nombre de rôles, d'écrans et d'endpoints API fixe la durée. Les failles les plus fréquentes sur un SaaS B2B restent le contrôle d'accès défaillant (un client lit les données d'un autre), l'injection et la mauvaise configuration, soit le haut du classement OWASP.
Après le rapport : corriger et prouver
| Étape | Délai | Coût indicatif | Qui s'en charge |
|---|---|---|---|
| Restitution et priorisation des failles | 1 jour | Inclus dans le pentest | Auditeur et CTO |
| Correction des failles critiques et élevées | 1 à 3 semaines | 2 000 à 10 000 EUR de développement | Équipe produit ou prestataire |
| Correction des failles moyennes | 2 à 6 semaines | Variable | Équipe produit |
| Contre-audit ciblé | 1 à 3 jours | 1 000 à 3 500 EUR HT | Même auditeur |
| Attestation à transmettre au client | Sous 1 semaine | Incluse ou 300 à 800 EUR | Auditeur |
Si vous n'avez pas d'équipe disponible pour corriger rapidement, Kolonell peut reprendre les correctifs dans le cadre d'une maintenance applicative, avec des formules à 35 000, 75 000 ou 120 000 FCFA par mois (environ 50, 110 ou 180 EUR) selon le volume d'interventions, ou sur devis pour un lot de corrections ponctuel.
Mini cas pratique
Thomas, CTO d'une scale-up qui édite un SaaS RH à Paris (profil illustratif), doit fournir un rapport de pentest à une banque prête à signer un contrat de 180 000 EUR par an.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
- Pentest en boîte grise de 9 jours chez un prestataire PASSI : 9 jours à 1 100 EUR, plus 25 %, soit 12 375 EUR HT.
- Correction de 2 failles critiques et 5 élevées : 8 jours de développement à 650 EUR, soit 5 200 EUR.
- Contre-audit de 2 jours : 2 750 EUR HT.
Coût total : 20 325 EUR, soit 11 % de la première année du contrat. Sans rapport, la signature est repoussée d'au moins un trimestre, soit 45 000 EUR de revenu décalé.
FAQ
Faut-il obligatoirement un prestataire PASSI ?
Non, sauf exigence explicite du client, d'un opérateur d'importance vitale ou d'un marché public sensible. Le surcoût de 20 à 30 % se justifie dès que le questionnaire sécurité du grand compte le mentionne.
Combien de temps avant le lancement faut-il planifier le test ?
Réservez 3 à 6 semaines avant la date visée : 1 à 3 semaines pour obtenir un créneau, 1 à 2 semaines d'audit, puis le temps des corrections. Un test la veille du lancement ne laisse aucune marge.
Un scan automatisé peut-il remplacer le pentest ?
Non, il détecte la mauvaise configuration mais rarement les failles de contrôle d'accès entre clients. Il coûte 0 à 1 500 EUR et complète utilement un pentest annuel.
À quelle fréquence refaire un test d'intrusion ?
Une fois par an et après chaque évolution majeure, par exemple une nouvelle API ou un module de paiement. Les grands comptes demandent souvent un rapport de moins de 12 mois.
L'environnement de production doit-il être testé ?
Un environnement de préproduction identique est préférable pour éviter d'altérer des données réelles. Prévoyez 1 à 2 jours de préparation des comptes de test par rôle.
Parlons de votre projet. Envoyez-nous le rapport de pentest ou la liste des failles à corriger, avec votre date de signature : nous chiffrons le lot de correctifs, le budget indicatif et le délai jusqu'au contre-audit. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
