Le verdict en trois phrases
Pour une application client exposée sur Internet, un pentest boîte grise de 5 à 10 jours (5 000 à 15 000 € HT) avant l'ouverture est le meilleur rapport risque sur coût du projet. Un prestataire qualifié PASSI n'est obligatoire que pour certains marchés sensibles (OIV, secteur public, santé selon les cas), mais il rassure les grands comptes. Budgétez d'emblée le retest (1 500 à 3 000 € HT) et 3 à 8 jours de corrections côté développement, sinon le rapport reste un PDF dans un tiroir.
Combien coûte un pentest d'application web en 2026
Le tarif se calcule en jours d'auditeur, entre 900 et 1 500 € HT par jour selon la séniorité et la qualification du prestataire.
| Type d'audit | Jours | Budget 2026 | Pour quel cas |
|---|---|---|---|
| Scan automatisé + revue manuelle légère | 1 à 2 | 1 500 à 3 000 € HT | site vitrine, back-office simple |
| Pentest boîte noire (sans compte) | 3 à 5 | 3 500 à 7 000 € HT | surface publique uniquement |
| Pentest boîte grise (comptes de test par rôle) | 5 à 10 | 5 000 à 15 000 € HT | application client, extranet, SaaS |
| Pentest boîte grise + API mobile | 8 à 12 | 9 000 à 18 000 € HT | application web et mobile partageant l'API |
| Prestataire qualifié PASSI | + 15 à 30 % | 7 000 à 20 000 € HT | marchés publics, OIV, données sensibles |
| Retest après corrections | 1 à 2 | 1 500 à 3 000 € HT | preuve de correction pour le client final |
| Revue de code ciblée (authentification, paiement) | 2 à 4 | 2 500 à 6 000 € HT | en complément du pentest |
Ces chiffres sont un ordre de grandeur 2026 observé sur le marché français. La boîte grise est le format le plus rentable avant production : l'auditeur reçoit un compte par rôle (client, gestionnaire, administrateur) et teste ce qu'un utilisateur malveillant connecté peut faire.
Les failles que l'on trouve vraiment
Sur les applications métier auditées avant ouverture, les mêmes catégories du Top 10 OWASP reviennent.
| Faille | Fréquence observée | Exemple concret | Coût de correction |
|---|---|---|---|
| Contrôle d'accès cassé | très fréquente | un client lit la facture d'un autre en changeant l'identifiant dans l'URL | 1 à 3 jours |
| Injection (SQL, commandes) | moins fréquente avec un ORM | champ de recherche non paramétré | 0,5 à 2 jours |
| Configuration exposée | fréquente | fichier .env, console d'administration ou bucket public accessible | 0,5 à 1 jour |
| Authentification faible | fréquente | pas de limitation des tentatives, pas de MFA administrateur | 1 à 2 jours |
| Données sensibles en clair | moyenne | jetons ou pièces d'identité stockés sans chiffrement | 1 à 3 jours |
| Composants vulnérables | fréquente | dépendances non mises à jour depuis 18 mois | 0,5 à 2 jours |
Le contrôle d'accès cassé arrive en tête parce qu'aucun scanner automatique ne le détecte : il faut un humain qui comprend les règles métier.
Comment cadrer le pentest pour ne pas payer pour rien
- Figez une version en préproduction, avec des données réalistes mais anonymisées.
- Listez les rôles et les parcours critiques : connexion, paiement, export de données, gestion des utilisateurs.
- Demandez un rapport exploitable : niveau de criticité CVSS, preuve d'exploitation, recommandation de correction par faille.
- Planifiez 2 à 3 semaines entre le rapport et la mise en ligne pour corriger et retester.
- Prévoyez la récurrence : un pentest annuel ou à chaque évolution majeure, souvent exigé dans les contrats grands comptes et par les assureurs cyber.
Mini cas pratique
Marc, DSI d'une ETI de distribution de 600 salariés à Nantes, ouvre un portail client permettant de consulter commandes, factures et avoirs. Il commande un pentest boîte grise de 7 jours à 1 200 € HT par jour, soit 8 400 € HT, plus un retest de 2 jours à 2 400 € HT. Les corrections internes prennent 5 jours développeur, environ 3 000 € de coût interne. Total : 13 800 €.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Le rapport révèle un contrôle d'accès cassé sur les factures : n'importe quel client connecté pouvait télécharger celles des 4 000 autres comptes. Une fuite de ce type pour une ETI, entre notification CNIL, gestion de crise et perte de clients, se chiffre en estimation entre 50 000 et 300 000 €. Le pentest coûte moins de 30 % du scénario le plus favorable.
FAQ
Le pentest est-il obligatoire avant une mise en production ?
Aucune loi ne l'impose à toutes les entreprises, mais le RGPD exige des mesures de sécurité adaptées et la directive NIS 2 renforce les obligations de nombreuses entités depuis 2024. En pratique, 7 appels d'offres grands comptes sur 10 demandent un rapport de pentest récent.
Faut-il obligatoirement un prestataire PASSI ?
Uniquement pour certains contextes réglementés (OIV, administrations, certains marchés publics). Pour une PME ou ETI privée, un prestataire non qualifié mais expérimenté coûte 15 à 30 % moins cher pour un rapport de qualité comparable.
Combien de temps dure un pentest d'application web ?
De 5 à 10 jours d'audit pour une application client classique, plus 3 à 5 jours pour la rédaction du rapport. Comptez 4 à 6 semaines entre la commande et le retest final.
Un scan automatique ne suffit-il pas ?
Un scanner à 100 à 300 € par mois repère les composants vulnérables et les erreurs de configuration. Il ne détecte pas les failles de logique métier comme le contrôle d'accès cassé, qui représentent la majorité des incidents graves.
Que faire du rapport ?
Corrigez d'abord les failles critiques et élevées, retestez, puis conservez le rapport et l'attestation de retest. Ils servent pour vos clients, votre assureur cyber et votre registre RGPD.
Parlons de votre projet. Nous préparons votre application pour l'audit, coordonnons le pentest boîte grise et corrigeons les failles avant ouverture, avec un budget et un calendrier fermes. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
